a)

Šo līguma standartklauzulu mērķis ir nodrošināt atbilstību prasībām, kas paredzētas Eiropas Parlamenta un Padomes Regulā (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti (Vispārīgā datu aizsardzības regula) (1), attiecībā uz personas datu nosūtīšanu trešām valstīm.

b)

Puses:

ir vienojušās par šīm līguma standartklauzulām (turpmāk “klauzulas”).

c)

Šīs klauzulas attiecas uz personas datu nosūtīšanu atbilstoši I.B pielikumam.

d)

Šo klauzulu papildinājums, kurā ietverti tajās minētie pielikumi, ir šo klauzulu neatņemama sastāvdaļa.

a)

Šajās klauzulās ir noteiktas atbilstošas garantijas, tostarp īstenojamas datu subjekta tiesības un efektīvi tiesiskās aizsardzības līdzekļi, saskaņā ar Regulas (ES) 2016/679 46. panta 1. punktu un 2. punkta c) apakšpunktu un – attiecībā uz datu nosūtīšanu apstrādātājiem no pārziņiem un/vai apstrādātājiem no apstrādātājiem – līguma standartklauzulas saskaņā ar Regulas (ES) 2016/679 28. panta 7. punktu ar nosacījumu, ka tās netiek mainītas, izņemot gadījumus, lai izvēlētos atbilstošo(-os) moduli(-us) vai lai pievienotu vai atjauninātu informāciju papildinājumā. Tas neliedz pusēm iekļaut šajās klauzulās noteiktās līguma standartklauzulas plašākā līgumā un/vai pievienot citas klauzulas vai papildu garantijas, ja tās tieši vai netieši nav pretrunā šīm klauzulām vai neierobežo datu subjekta pamattiesības vai brīvības.

b)

Šīs klauzulas neskar pienākumus, kuri attiecas uz datu nosūtītāju saskaņā ar Regulu (ES) 2016/679.

a)

Datu subjekti var atsaukties uz šīm klauzulām un īstenot tās kā ieinteresētās trešās personas pret datu nosūtītāju un/vai datu saņēmēju ar šādiem izņēmumiem:

b)

Šīs klauzulas a) punkts neskar datus subjektu tiesības saskaņā ar Regulu (ES) 2016/679.

a)

Ja šajās klauzulās ir izmantoti Regulā (ES) 2016/679 definēti termini, tiem ir tāda pati nozīme, kāda tiem ir attiecīgajā regulā.

b)

Klauzulas lasa un interpretē, ņemot vērā Regulas (ES) 2016/679 prasības.

c)

Šīm klauzulām neizmanto interpretāciju, kas neatbilst Regulā (ES) 2016/679 paredzētajām tiesībām un pienākumiem.

a)

Vienība, kas nav šo klauzulu parakstītāja puse, ar pušu piekrišanu ar pievienoties šīm klauzulām jebkurā laikā gan kā datu nosūtītājs, gan kā datu saņēmējs, aizpildot papildinājumu un parakstot I.A pielikumu.

b)

Pēc tam, kad vienība, kas pievienojas, ir aizpildījusi papildinājumu un parakstījusi I.A pielikumu, tā kļūst par šo klauzulu parakstītāju pusi un tai ir datu nosūtītāja vai datu saņēmēja tiesības un pienākumi saskaņā ar tā apzīmējumu I.A pielikumā.

c)

Vienībai, kas pievienojas, nav tiesību vai pienākumu, kuri izriet no šīm klauzulām par laikposmu pirms kļūšanas par klauzulu parakstītāju pusi.

i)

ja tas ir ieguvis datu subjekta iepriekšēju atļauju;

ii)

ja tas ir vajadzīgs likumīgu prasību celšanai, īstenošanai vai aizstāvēšanai konkrētu administratīvo procesu, regulatīvo procesu vai tiesvedības procesu kontekstā; vai

iii)

ja tas ir vajadzīgs, lai aizsargātu datu subjekta vai citas fiziskas personas vitālas intereses.

a)

Lai sniegtu datu subjektiem iespēju efektīvi izmantot savas tiesības saskaņā ar 10. klauzulu, datu saņēmējs tiem tieši vai ar datu nosūtītāja starpniecību sniedz šādu informāciju:

b)

Šīs klauzulas a) punkts neattiecas uz gadījumiem, kad datu subjektam jau ir attiecīgā informācija, tostarp, ja šādu informāciju jau ir sniedzis datu nosūtītājs vai arī ja šādas informācijas sniegšana nav iespējama vai tai būtu nepieciešamas datu saņēmēja nesamērīgas pūles. Pēdējā no minētajiem gadījumiem datu saņēmējam, ciktāl iespējams, jānodrošina informācijas publiska pieejamība.

c)

Puses pēc pieprasījuma bez maksas dara datu subjektam pieejamu šo klauzulu, tostarp pušu aizpildītā papildinājuma, kopiju. Ciktāl tas nepieciešams komercnoslēpuma vai citas konfidenciālas informācijas, tostarp personas datu, aizsardzībai, puses var daļēji rediģēt šā papildinājuma tekstu pirms tā kopijas kopīgošanas, taču tās sniedz jēgpilnu kopsavilkumu, ja datu subjektam citādi nebūtu iespējams izprast tā saturu vai izmantot savas tiesības. Puses pēc pieprasījuma atklāj datu subjektam rediģēšanas iemeslus, ciktāl tas iespējams, neatklājot rediģēto informāciju.

d)

Šīs klauzulas a)–c) punkts neskar datu nosūtītāja pienākumus saskaņā ar Regulas (ES) 2016/679 13. un 14. pantu.

a)

Katra puses nodrošina, lai personas dati būtu precīzi un vajadzības gadījumā tiktu atjaunināti. Datu saņēmējs veic saprātīgus pasākumus, lai nodrošinātu, ka neprecīzi personas dati, ņemot vērā nolūku(-us), kādā(-os) tie tiek apstrādāti, bez kavēšanās tiktu dzēsti vai laboti.

b)

Ja vienai no pusēm kļūst zināms, ka personas dati, kas tiek nosūtīti vai saņemti, nav precīzi vai arī tie ir novecojuši, tā nekavējoties informē otru pusi.

c)

Datu saņēmējs nodrošina, lai personas dati būtu atbilstoši, būtiski un tikai tie, kas nepieciešami saistībā ar apstrādes mērķi(-iem).

a)

Datu saņēmējs un nosūtīšanas laikā arī datu nosūtītājs īsteno atbilstošus tehniskos un organizatoriskos pasākumus, lai nodrošinātu personas datu drošību, tostarp aizsardzību pret drošības pārkāpumiem, kuru rezultātā var notikt nejauša vai nelikumīga datu iznīcināšana, nozaudēšana, pārveidošana, neatļauta izpaušana vai piekļuve tiem (turpmāk tekstā – “personas datu aizsardzības pārkāpums”). Novērtējot atbilstošu drošības līmeni, tiem ir pienācīgi jāņem vērā tehniskās iespējas, īstenošanas izmaksas, apstrādes raksturs, apmērs, konteksts un nolūks un ar apstrādi saistītie riski datu subjektam. Pusēm jo īpaši jāapsver iespēja izmantot šifrēšanu vai pseidonimizāciju, tostarp nosūtīšanas laikā, ja tādējādi var sasniegt apstrādes mērķi.

b)

Puses ir vienojušās par tehniskajiem un organizatoriskajiem pasākumiem, kas paredzēti II pielikumā. Datu saņēmējs veic regulāras pārbaudes, lai nodrošinātu, ka šādi pasākumi turpina nodrošināt atbilstošu drošības līmeni.

c)

Datu saņēmējs nodrošina, ka personas, kuras ir pilnvarotas apstrādāt personas datus, ir apņēmušās ievērot konfidencialitāti vai tām ir noteikts attiecīgs likumisks pienākums ievērot konfidencialitāti.

d)

Personas datu aizsardzības pārkāpuma gadījumā, kas attiecas uz personas datiem, ko apstrādā datu saņēmējs saskaņā ar šīm klauzulām, datu saņēmējs veic atbilstošus pasākumus, lai novērstu personas datu aizsardzības pārkāpumu, tostarp pasākumus, lai mazinātu iespējamo nelabvēlīgo ietekmi.

e)

Tāda personas datu aizsardzības pārkāpuma gadījumā, kas var radīt risku fizisku personu tiesībām un brīvībām, datu saņēmējs bez nepamatotas kavēšanās par to paziņo gan datu nosūtītājam, gan kompetentajai uzraudzības iestādei saskaņā ar 13. klauzulu. Šādā paziņojumā norāda i) aprakstu par pārkāpuma raksturu (tostarp, ja iespējams, attiecīgo datu subjektu un personas datu ierakstu kategorijas un aptuveno skaitu), ii) tā iespējamās sekas, iii) veiktos vai ierosinātos pasākumus, lai novērstu pārkāpumu, un iv) datus par kontaktpunktu papildu informācijas saņemšanai. Ciktāl datu saņēmējam nav iespējams sniegt visu informāciju vienlaikus, to var sniegt pa posmiem bez turpmākas nepamatotas kavēšanās.

f)

Gadījumā, ja personas datu aizsardzības pārkāpums varētu radīt augstu risku fizisku personu tiesībām un brīvībām, datu saņēmējs arī bez nepamatotas kavēšanās paziņo attiecīgajiem datu subjektiem par personas datu aizsardzības pārkāpumu un tā raksturu, nepieciešamības gadījumā sadarbojoties ar datu nosūtītāju, kā arī informāciju, kas minēta e) punkta ii)–iv) apakšpunktā, ja vien datu saņēmējs nav veicis pasākumus, lai būtiski samazinātu risku fizisku personu tiesībām un brīvībām, vai paziņošana neprasa nesamērīgi lielas pūles. Datu saņēmēja jau ieviestu pasākumu vai nesamērīgi lielu pūļu gadījumā datu saņēmējs izdod publisku paziņojumu vai īsteno līdzīgu pasākumu, lai informētu sabiedrību par personas datu aizsardzības pārkāpumu.

g)

Datu saņēmējs dokumentē visus attiecīgos faktus saistībā ar personas datu aizsardzības pārkāpumu, tostarp tā sekas un visas veiktās koriģējošās darbības, un veic attiecīgu uzskaiti.

i)

ja to veic uz valsti, attiecībā uz kuru ir pieņemts lēmums par aizsardzības līmeņa pietiekamību saskaņā ar (ES) 2016/679 45. pantu, kurš attiecas uz tālāku nosūtīšanu;

ii)

ja trešā persona citādi nodrošina atbilstošas garantijas saskaņā ar Regulas (ES) 2016/679 46. vai 47. pantu attiecībā uz konkrēto apstrādi;

iii)

ja trešā persona vienojas ar datu saņēmēju par saistošu instrumentu, kas nodrošina tādu pašu datu aizsardzības līmeni kā šīs klauzulas, un datu saņēmējs datu nosūtītājam dara pieejamu attiecīgo garantiju kopiju;

iv)

ja tā ir vajadzīga likumīgu prasību celšanai, īstenošanai vai aizstāvēšanai konkrētu administratīvo procesu, regulatīvo procesu vai tiesvedības procesu kontekstā;

v)

ja tā ir vajadzīga, lai aizsargātu datu subjekta vai citas fiziskas personas vitālas intereses; vai,

vi)

neesot spēkā nevienam citam nosacījumam, – ja datu saņēmējs ir ieguvis datu subjekta nepārprotamu piekrišanu tālākai nosūtīšanai konkrētā situācijā pēc tam, kad tas ir informējis datu subjektu par tālākas nosūtīšanas mērķi(-iem), saņēmēja identitāti un iespējamiem riskiem, ko šāda nosūtīšana rada datu subjektam atbilstošu datu aizsardzības garantiju neesības dēļ. Šādā gadījumā datu saņēmējs informē datu nosūtītāju un pēc datu nosūtītāja pieprasījuma nosūta tam datu subjektam sniegtās informācijas kopiju;

a)

Visām pusēm jāspēj apliecināt atbilstību šajās klauzulās paredzētajiem pienākumiem. Konkrētāk, datu saņēmējs glabā atbilstošo dokumentāciju par veiktajām apstrādes darbībām, par ko tas ir atbildīgs.

b)

Datu saņēmējs dara šādu dokumentāciju pieejamu pēc kompetentās uzraudzības iestādes pieprasījuma.

a)

Datu saņēmējs apstrādā personas datus tikai pēc datu nosūtītāja dokumentētiem norādījumiem. Datu nosūtītājs var sniegt šādus norādījumus visā līguma darbības laikā.

b)

Datu saņēmējs nekavējoties informē datu nosūtītāju, ja tas nevar izpildīt minētos norādījumus.

a)

Datu saņēmējs un nosūtīšanas laikā arī datu nosūtītājs īsteno atbilstošus tehniskos un organizatoriskos pasākumus, lai nodrošinātu datu drošību, tostarp aizsardzību pret drošības pārkāpumiem, kuru rezultātā var notikt nejauša vai nelikumīga datu iznīcināšana, nozaudēšana, pārveidošana, neatļauta izpaušana vai piekļuve tiem (turpmāk tekstā – “personas datu aizsardzības pārkāpums”). Novērtējot atbilstošu drošības līmeni, pusēm ir pienācīgi jāņem vērā tehniskās iespējas, īstenošanas izmaksas, apstrādes raksturs, apmērs, konteksts un nolūks un ar apstrādi saistītie riski datu subjektiem. Pusēm jo īpaši jāapsver iespēja izmantot šifrēšanu vai pseidonimizāciju, tostarp nosūtīšanas laikā, ja tādējādi var sasniegt apstrādes mērķi. Ja iespējams, pseidonimizācijas gadījumā papildu informācija personas datu sasaistei ar konkrētu datu subjektu paliek datu nosūtītāja ekskluzīvā kontrolē. Nodrošinot savu pienākumu izpildi saskaņā ar šo punktu, datu saņēmējam jāīsteno vismaz II pielikumā minētie tehniskie un organizatoriskie pasākumi. Datu saņēmējs veic regulāras pārbaudes, lai nodrošinātu, ka šādi pasākumi turpina sniegt atbilstošu drošības līmeni.

b)

Datu saņēmējs saviem darbiniekiem nodrošina piekļuvi personas datiem vienīgi tādā apmērā, kas ir obligāti vajadzīgs līguma īstenošanai, pārvaldībai un uzraudzībai. Tas nodrošina, ka personas, kuras ir pilnvarotas apstrādāt personas datus, ir apņēmušās ievērot konfidencialitāti vai tām ir noteikts attiecīgs likumisks pienākums ievērot konfidencialitāti.

c)

Personas datu aizsardzības pārkāpuma gadījumā, kas attiecas uz personas datiem, ko apstrādā datu saņēmējs saskaņā ar šīm klauzulām, datu saņēmējs veic atbilstošus pasākumus, lai novērstu personas datu aizsardzības pārkāpumu, tostarp pasākumus, lai mazinātu nelabvēlīgo ietekmi. Datu saņēmējs arī bez nepamatotas kavēšanās informē datu nosūtītāju pēc tam, kad tam kļuvis zināms par pārkāpumu. Šādā paziņojumā norāda datus par kontaktpunktu papildu informācijas saņemšanai, aprakstu par pārkāpuma raksturu (tostarp, ja iespējams, attiecīgo datu subjektu un personas datu ierakstu kategorijas un aptuveno skaitu), tā iespējamās sekas un veiktos vai ierosinātos pasākumus, lai novērstu pārkāpumu, tostarp attiecīgajos gadījumos pasākumus tā iespējamās nelabvēlīgās ietekmes mazināšanai. Ja un ciktāl nav iespējams sniegt visu informāciju vienlaikus, sākotnējā paziņojumā jānorāda visa attiecīgajā brīdī pieejamā informācija un pēc tam bez nepamatotas kavēšanās jāsniedz papildu informācija, tiklīdz tā kļūst pieejama.

d)

Datu saņēmējs sadarbojas ar datu nosūtītāju un palīdz tam, lai nodrošinātu iespēju datu nosūtītājam izpildīt Regulā (ES) 2016/679 paredzētos pienākumus, jo īpaši paziņot kompetentajai uzraudzības iestādei un skartajiem datu subjektiem, ņemot vērā apstrādes veidu un datu saņēmējam pieejamo informāciju.

i)

tālāku nosūtīšanu veic uz valsti, attiecībā uz kuru ir pieņemts lēmums par aizsardzības līmeņa pietiekamību saskaņā ar (ES) 2016/679 45. pantu, kurš attiecas uz tālāku nosūtīšanu;

ii)

trešā persona citādi nodrošina atbilstošas garantijas saskaņā ar Regulas (ES) 2016/679 46. vai 47. pantu attiecībā uz konkrēto apstrādi;

iii)

tālāka nosūtīšana ir vajadzīga likumīgu prasību celšanai, īstenošanai vai aizstāvēšanai konkrētu administratīvo procesu, regulatīvo procesu vai tiesvedības procesu kontekstā; vai

iv)

tālāka nosūtīšana ir vajadzīga, lai aizsargātu datu subjekta vai citas fiziskas personas vitālas intereses.

a)

Datu saņēmējs ātri un pienācīgi izskata no datu nosūtītāja saņemtus jautājumus, kas saistīti ar apstrādi saskaņā ar šīm klauzulām.

b)

Pusēm jāspēj apliecināt atbilstību šīm klauzulām. Konkrētāk, datu saņēmējs glabā atbilstošo dokumentāciju par datu nosūtītāja vārdā veiktajām apstrādes darbībām.

c)

Datu saņēmējs sniedz datu nosūtītājam visu informāciju, kas nepieciešama, lai apliecinātu atbilstību šajās klauzulās noteiktajiem pienākumiem, un pēc datu nosūtītāja pieprasījuma ļauj un palīdz veikt tādu apstrādes darbību revīzijas, uz kurām attiecas šīs klauzulas, ar pamatotu regularitāti vai ja pastāv norādes uz neatbilstību. Pieņemot lēmumu par pārbaudi vai revīziju, datu nosūtītājs var ņemt vērā atbilstīgos datu saņēmēja sertifikātus.

d)

Datu nosūtītājs var izvēlēties veikt revīziju pats vai pilnvarot neatkarīgu revidentu. Revīzijas var ietvert pārbaudes datu saņēmēja telpās vai fiziskos objektos un attiecīgajos gadījumos tikt veiktas, par to paziņojot saprātīgā termiņā.

e)

Puses pēc kompetentās uzraudzības iestādes pieprasījuma sniedz b) un c) punktā minēto informāciju, tostarp jebkādu revīziju rezultātus.

a)

Datu nosūtītājs ir informējis datu saņēmēju, ka tas rīkojas kā apstrādātājs saskaņā ar pārziņa(-u) norādījumiem, kurus datu nosūtītājs sniedz datu saņēmējam pirms apstrādes.

b)

Datu saņēmējs apstrādā personas datus tikai pēc pārziņa dokumentētiem norādījumiem, kurus datu saņēmējam sniedzis datu nosūtītājs, kā arī pēc jebkādiem datu nosūtītāja sniegtiem papildu dokumentētiem norādījumiem. Šādi papildu norādījumi nedrīkst būt pretrunā pārziņa norādījumiem. Pārzinis vai datu nosūtītājs var sniegt papildu dokumentētus norādījumus par datu apstrādi visā līguma darbības laikā.

c)

Datu saņēmējs nekavējoties informē datu nosūtītāju, ja tas nevar izpildīt minētos norādījumus. Gadījumā, ja datu saņēmējs nevar izpildīt pārziņa norādījumus, datu nosūtītājs nekavējoties par to informē pārzini.

d)

Datu saņēmējs garantē, ka tas ir noteicis datu saņēmējam tādus pašus datu aizsardzības pienākumus, kādi ir paredzēti līgumā vai citā juridiskā dokumentā atbilstoši Savienības vai dalībvalsts tiesību aktiem starp pārzini un datu nosūtītāju (5).

a)

Datu saņēmējs un nosūtīšanas laikā arī datu nosūtītājs īsteno atbilstošus tehniskos un organizatoriskos pasākumus, lai nodrošinātu datu drošību, tostarp aizsardzību pret drošības pārkāpumiem, kuru rezultātā var notikt nejauša vai nelikumīga datu iznīcināšana, nozaudēšana, pārveidošana, neatļauta izpaušana vai piekļuve tiem (turpmāk tekstā – “personas datu aizsardzības pārkāpums”). Novērtējot atbilstošu drošības līmeni, tiem ir pienācīgi jāņem vērā tehniskās iespējas, īstenošanas izmaksas, apstrādes raksturs, apmērs, konteksts un nolūks un ar apstrādi saistītie riski datu subjektam. Pusēm jo īpaši jāapsver iespēja izmantot šifrēšanu vai pseidonimizāciju, tostarp nosūtīšanas laikā, ja tādējādi var sasniegt apstrādes mērķi. Ja iespējams, pseidonimizācijas gadījumā papildu informācija personas datu sasaistei ar konkrētu datu subjektu paliek datu nosūtītāja vai pārziņa ekskluzīvā kontrolē. Nodrošinot savu pienākumu izpildi saskaņā ar šo punktu, datu saņēmējam jāīsteno vismaz II pielikumā minētie tehniskie un organizatoriskie pasākumi. Datu saņēmējs veic regulāras pārbaudes, lai nodrošinātu, ka šādi pasākumi turpina sniegt atbilstošu drošības līmeni.

b)

Datu saņēmējs saviem darbiniekiem nodrošina piekļuvi datiem vienīgi tādā apmērā, kas ir obligāti nepieciešams līguma īstenošanai, pārvaldībai un uzraudzībai. Datu nosūtītājs nodrošina, ka personas, kuras ir pilnvarotas apstrādāt personas datus, ir apņēmušās ievērot konfidencialitāti vai tām ir noteikts attiecīgs likumisks pienākums ievērot konfidencialitāti.

c)

Personas datu aizsardzības pārkāpuma gadījumā, kas attiecas uz personas datiem, ko apstrādā datu saņēmējs saskaņā ar šīm klauzulām, datu saņēmējs veic atbilstošus pasākumus, lai novērstu personas datu aizsardzības pārkāpumu, tostarp pasākumus, lai mazinātu tā nelabvēlīgo ietekmi. Pēc tam, kad tam kļuvis zināms par pārkāpumu, datu saņēmējs bez nepamatotas kavēšanās arī informē datu nosūtītāju un, ja tas ir piemēroti un iespējami, – pārzini. Šādā paziņojumā norāda datus par kontaktpunktu papildu informācijas saņemšanai, aprakstu par pārkāpuma raksturu (tostarp, ja iespējams, attiecīgo datu subjektu un personas datu ierakstu kategorijas un aptuveno skaitu), tā iespējamās sekas un veiktos vai ierosinātos pasākumus, lai novērstu datu aizsardzības pārkāpumu, tostarp pasākumus tā iespējamās nelabvēlīgās ietekmes mazināšanai. Ja un ciktāl nav iespējams sniegt visu informāciju vienlaikus, sākotnējā paziņojumā jānorāda visa attiecīgajā brīdī pieejamā informācija un pēc tam bez nepamatotas kavēšanās jāsniedz papildu informācija, tiklīdz tā kļūst pieejama.

d)

Datu saņēmējs sadarbojas ar datu nosūtītāju un palīdz tam, lai nodrošinātu iespēju datu nosūtītājam izpildīt Regulā (ES) 2016/679 paredzētos pienākumus, jo īpaši informēt pārzini, lai tas savukārt varētu informēt kompetento uzraudzības iestādi un skartos datu subjektus, ņemot vērā apstrādes veidu un datu saņēmējam pieejamo informāciju.

i)

tālāku nosūtīšanu veic uz valsti, attiecībā uz kuru ir pieņemts lēmums par aizsardzības līmeņa pietiekamību saskaņā ar (ES) 2016/679 45. pantu, kurš attiecas uz tālāku nosūtīšanu;

ii)

trešā persona citādi nodrošina atbilstošas garantijas saskaņā ar Regulas (ES) 2016/679 46. vai 47. pantu;

iii)

tālāka nosūtīšana ir vajadzīga likumīgu prasību celšanai, īstenošanai vai aizstāvēšanai konkrētu administratīvo procesu, regulatīvo procesu vai tiesvedības procesu kontekstā; vai

iv)

tālāka nosūtīšana ir vajadzīga, lai aizsargātu datu subjekta vai citas fiziskas personas vitālas intereses.

a)

Datu saņēmējs ātri un pienācīgi izskata no datu nosūtītāja vai pārziņa saņemtus jautājumus, kas saistīti ar apstrādi saskaņā ar šīm klauzulām.

b)

Pusēm jāspēj apliecināt atbilstību šīm klauzulām. Konkrētāk, datu saņēmējs glabā atbilstošo dokumentāciju par pārziņa vārdā veiktajām apstrādes darbībām.

c)

Datu saņēmējs sniedz datu nosūtītājam visu informāciju, kas nepieciešama, lai apliecinātu atbilstību šajās klauzulās noteiktajiem pienākumiem, un datu nosūtītājs sniedz šo informāciju pārzinim.

d)

Datu saņēmējs ļauj un palīdz datu nosūtītājam veikt tādu apstrādes darbību revīzijas, uz kurām attiecas šīs klauzulas, ar pamatotu regularitāti vai ja pastāv norādes uz neatbilstību. Tā pati prasība attiecas uz gadījumiem, kad datu nosūtītājs pieprasa revīziju saskaņā ar pārziņa norādījumiem. Pieņemot lēmumu par revīziju, datu nosūtītājs var ņemt vērā atbilstīgos datu saņēmēja sertifikātus.

e)

Ja revīzija tiek veikta saskaņā ar pārziņa norādījumiem, datu nosūtītājs nodrošina rezultātu pieejamību pārzinim.

f)

Datu nosūtītājs var izvēlēties veikt revīziju pats vai pilnvarot neatkarīgu revidentu. Revīzijas var ietvert pārbaudes datu saņēmēja telpās vai fiziskos objektos un attiecīgajos gadījumos tikt veiktas, par to paziņojot saprātīgā termiņā.

g)

Puses pēc kompetentās uzraudzības iestādes pieprasījuma sniedz b) un c) punktā minēto informāciju, tostarp jebkādu revīziju rezultātus.

a)

Datu nosūtītājs apstrādā personas datus tikai pēc datu saņēmēja, kas rīkojas kā to pārzinis, dokumentētiem norādījumiem.

b)

Datu nosūtītājs nekavējoties informē datu saņēmēju, ja tas nevar izpildīt attiecīgos norādījumus, tostarp tad, ja šādi norādījumi pārkāpj Regulu (ES) 2016/679 vai citus Savienības vai dalībvalsts datu aizsardzības tiesību aktus.

c)

Datu saņēmējam jāatturas veikt jebkādas darbības, kuras traucētu datu nosūtītājam izpildīt Regulā (ES) 2016/679 paredzētos pienākumus, tostarp saistībā ar apakšapstrādi vai attiecībā uz sadarbību ar kompetentajām uzraudzības iestādēm.

d)

Pēc apstrādes pakalpojumu sniegšanas beigām datu nosūtītājs pēc datu saņēmēja izvēles dzēš visus personas datus, kas apstrādāti datu saņēmēja vārdā, un apliecina datu saņēmējam šādas darbības veikšanu vai atdod datu saņēmējam visus tā vārdā apstrādātos datus un dzēš esošās kopijas.

a)

Puses īsteno atbilstošus tehniskos un organizatoriskos pasākumus, lai nodrošinātu datu drošību, tostarp nosūtīšanas laikā, un aizsardzību pret drošības pārkāpumiem, kuru rezultātā var notikt nejauša vai nelikumīga datu iznīcināšana, nozaudēšana, pārveidošana, neatļauta izpaušana vai piekļuve tiem (turpmāk tekstā – “personas datu aizsardzības pārkāpums”). Novērtējot atbilstošu drošības līmeni, tiem ir pienācīgi jāņem vērā tehniskās iespējas, īstenošanas izmaksas, personas datu raksturs (7), apstrādes raksturs, apmērs, konteksts un nolūks un ar apstrādi saistītie riski datu subjektam, un jo īpaši jāapsver iespēja izmantot šifrēšanu vai pseidonimizāciju, tostarp nosūtīšanas laikā, ja tādējādi var sasniegt apstrādes mērķi.

b)

Datu nosūtītājs palīdz datu saņēmējam nodrošināt pienācīgu datu drošību saskaņā ar a) punktu. Personas datu aizsardzības pārkāpuma gadījumā, kas attiecas uz personas datiem, ko apstrādā datu nosūtītājs saskaņā ar šīm klauzulām, datu nosūtītājs bez nepamatotas kavēšanās informē datu saņēmēju pēc tam, kad tam kļuvis zināms par pārkāpumu, un palīdz datu saņēmējam novērst attiecīgo pārkāpumu.

c)

Datu nosūtītājs nodrošina, ka personas, kuras ir pilnvarotas apstrādāt personas datus, ir apņēmušās ievērot konfidencialitāti vai tām ir noteikts attiecīgs likumisks pienākums ievērot konfidencialitāti.

a)

Pusēm jāspēj apliecināt atbilstību šīm klauzulām.

b)

Datu nosūtītājs sniedz datu saņēmējam visu informāciju, kas nepieciešama, lai apliecinātu atbilstību šajās klauzulās noteiktajiem pienākumiem, kā arī ļauj un palīdz veikt revīzijas.

a)

1. IZVĒLE. KONKRĒTA IEPRIEKŠĒJA ATĻAUJA. Datu saņēmējs ne par vienu no savām apstrādes darbībām, kuras tiek veiktas datu nosūtītāja vārdā saskaņā ar šīm klauzulām, neslēdz apakšlīgumu ar apakšapstrādātāju bez datu nosūtītāja iepriekšējas konkrētas rakstiskas atļaujas. Datu saņēmējs iesniedz konkrētas atļaujas pieprasījumu vismaz [Norādīt laika periodu] pirms apakšapstrādātāja piesaistīšanas kopā ar informāciju, kas nepieciešama, lai sniegtu datu nosūtītājam iespēju pieņemt lēmumu par atļaujas piešķiršanu. Tādu apakšapstrādātāju saraksts, kurus datu nosūtītājs jau ir apstiprinājis, ir atrodams III pielikumā. Puses atjaunina III pielikumu.

2. IZVĒLE. VISPĀRĒJA RAKSTISKA ATĻAUJA. Datu saņēmējam ir datu nosūtītāja vispārējā atļauja apakšapstrādātāja(-u) piesaistīšanai no apstiprināta saraksta. Datu saņēmējs īpaši paziņo datu nosūtītājam rakstveidā par jebkādām paredzētām izmaiņām minētajā sarakstā, pievienojot vai aizstājot apakšapstrādātājus, vismaz [Norādīt laika periodu] iepriekš, tādējādi nodrošinot datu nosūtītājam pietiekami daudz laika, lai tas varētu iebilst pret šādām izmaiņām pirms apakšapstrādātāja(-u) piesaistīšanas. Datu saņēmējs sniedz datu nosūtītājam informāciju, kas nepieciešama, lai ļautu datu nosūtītājam izmantot savas tiesības iebilst.

b)

Ja datu saņēmējs piesaista apakšapstrādātāju konkrētu apstrādes darbību īstenošanai (datu nosūtītāja vārdā), to veic, izmantojot rakstisku līgumu, kurā pēc būtības noteikti tādi paši datu aizsardzības pienākumi kā līgumos, kuri ir saistoši datu saņēmējam saskaņā ar šīm klauzulām, tostarp attiecībā uz ieinteresēto trešo personu tiesībām datu subjektiem (8). Puses vienojas, ka, nodrošinot atbilstību šai klauzulai, datu saņēmējs izpilda 8.8. klauzulā paredzētos pienākumus. Datu saņēmējs nodrošina, ka apakšapstrādātājs izpilda pienākumus, kuri attiecas uz datu saņēmēju saskaņā ar šīm klauzulām.

c)

Datu saņēmējs pēc datu nosūtītāja pieprasījuma datu nosūtītājam dara pieejamu šāda apakšapstrādātāja līguma un jebkādu turpmāko grozījumu kopiju. Ciktāl tas nepieciešams komercnoslēpuma vai citas konfidenciālas informācijas, tostarp personas datu, aizsardzībai, datu saņēmējs var rediģēt līguma tekstu pirms kopijas kopīgošanas.

d)

Datu saņēmējs saglabā pilnu atbildību datu nosūtītāja priekšā par apakšapstrādātāja pienākumu īstenošanu atbilstoši līgumam ar datu saņēmēju. Datu saņēmējs informē datu nosūtītāju, ja apakšapstrādātājs jebkādā veidā nav izpildījis minētajā līgumā paredzētos pienākumus.

e)

Datu saņēmējs vienojas ar apakšapstrādātāju par ieinteresēto trešo personu klauzulu, tādējādi gadījumā, ja datu saņēmējs ir faktiski zudis, juridiski beidzis pastāvēt vai arī ir kļuvis maksātnespējīgs, datu nosūtītājam ir tiesības izbeigt apakšapstrādātāja līgumu un dot apakšapstrādātājam rīkojumu dzēst vai atdot personas datus.

a)

1. IZVĒLE. KONKRĒTA IEPRIEKŠĒJA ATĻAUJA. Datu saņēmējs ne par vienu no savām apstrādes darbībām, kuras tiek veiktas datu nosūtītāja vārdā saskaņā ar šīm klauzulām, neslēdz apakšlīgumu ar apakšapstrādātāju bez pārziņa iepriekšējas konkrētas rakstiskas atļaujas. Datu saņēmējs iesniedz konkrētas atļaujas pieprasījumu vismaz [Norādīt laika periodu] pirms apakšapstrādātāja piesaistīšanas kopā ar informāciju, kas nepieciešama, lai sniegtu pārzinim iespēju pieņemt lēmumu par atļaujas piešķiršanu. Tas informē datu nosūtītāju par šādu piesaistīšanu. Tādu apakšapstrādātāju saraksts, kurus pārzinis jau ir apstiprinājis, ir atrodams III pielikumā. Puses atjaunina III pielikumu.

2. IZVĒLE. VISPĀRĒJA RAKSTISKA ATĻAUJA. Datu saņēmējam ir pārziņa vispārējā atļauja apakšapstrādātāja(-u) piesaistīšanai no apstiprināta saraksta. Datu saņēmējs īpaši paziņo pārzinim rakstveidā par jebkādām paredzētām izmaiņām minētajā sarakstā, pievienojot vai aizstājot apakšapstrādātājus, vismaz [Norādīt laika periodu] iepriekš, tādējādi nodrošinot pārzinim pietiekami daudz laika, lai tas varētu iebilst pret šādām izmaiņām pirms apakšapstrādātāja(-u) piesaistīšanas. Pārzinis sniedz datu nosūtītājam informāciju, kas nepieciešama, lai ļautu pārzinim izmantot savas tiesības iebilst. Datu saņēmējs informē datu nosūtītāju par apakšapstrādātāja(-u) piesaistīšanu.

b)

Ja datu saņēmējs piesaista apakšapstrādātāju konkrētu apstrādes darbību īstenošanai (pārziņa vārdā), to veic, izmantojot rakstisku līgumu, kurā pēc būtības noteikti tādi paši datu aizsardzības pienākumi kā līgumos, kuri ir saistoši datu saņēmējam saskaņā ar šīm klauzulām, tostarp attiecībā uz ieinteresēto trešo personu tiesībām datu subjektiem (9). Puses vienojas, ka, nodrošinot atbilstību šai klauzulai, datu saņēmējs izpilda 8.8. klauzulā paredzētos pienākumus. Datu saņēmējs nodrošina, ka apakšapstrādātājs izpilda pienākumus, kuri attiecas uz datu saņēmēju saskaņā ar šīm klauzulām.

c)

Datu saņēmējs pēc datu nosūtītāja vai pārziņa pieprasījuma sniedz šāda apakšapstrādātāja līguma un jebkādu turpmāko grozījumu kopiju. Ciktāl tas nepieciešams komercnoslēpuma vai citas konfidenciālas informācijas, tostarp personas datu, aizsardzībai, datu saņēmējs var rediģēt līguma tekstu pirms kopijas kopīgošanas.

d)

Datu saņēmējs saglabā pilnu atbildību datu nosūtītāja priekšā par apakšapstrādātāja pienākumu īstenošanu atbilstoši līgumam ar datu saņēmēju. Datu saņēmējs informē datu nosūtītāju, ja apakšapstrādātājs jebkādā veidā nav izpildījis minētajā līgumā paredzētos pienākumus.

e)

Datu saņēmējs vienojas ar apakšapstrādātāju par ieinteresēto trešo personu klauzulu, tādējādi gadījumā, ja datu saņēmējs ir faktiski zudis, juridiski beidzis pastāvēt vai arī ir kļuvis maksātnespējīgs, datu nosūtītājam ir tiesības izbeigt apakšapstrādātāja līgumu un dot apakšapstrādātājam rīkojumu dzēst vai atdot personas datus.

a)

Datu saņēmējs attiecīgajos gadījumos ar datu nosūtītāja palīdzību bez nepamatotas kavēšanās un ne ilgāk kā viena mēneša laikā pēc jebkura jautājuma vai pieprasījuma saņemšanas izskata jautājumus un pieprasījumus, kurus tas saņem no datu subjekta saistībā ar tā personas datu apstrādi un tiesību izmantošanu saskaņā ar šīm klauzulām (10). Datu saņēmējs veic atbilstošus pasākumus, lai sekmētu šādus jautājumus, pieprasījumus un datu subjekta tiesību izmantošanu. Jebkura datu subjektam nodrošinātā informācija jāsniedz saprotamā un viegli pieejamā veidā, izmantojot skaidru un vienkāršu valodu.

b)

Konkrētāk, pēc datu subjekta pieprasījuma datu saņēmējs bez maksas:

c)

Ja datu saņēmējs apstrādā personas datus tiešās tirgvedības nolūkos, tas pārtrauc apstrādi šādiem mērķiem, ja datu subjekts pret to iebilst.

d)

Datu saņēmējs nepieņem lēmumu, pamatojoties vienīgi uz automatizētu nosūtīto personas datu apstrādi (turpmāk tekstā – “automatizēts lēmums”), kas datu subjektam radītu tiesiskas sekas vai līdzīgi būtiski to ietekmētu, ja vien tas nav darīts ar datu subjekta nepārprotamu piekrišanu vai ja datu saņēmējs nav pilnvarots šādi rīkoties saskaņā ar galamērķa valsts tiesību aktiem, ar nosacījumu, ka šādi tiesību akti paredz piemērotus pasākumus datu subjekta tiesību un interešu aizsardzībai. Šādā gadījumā datu saņēmējs, nepieciešamības gadījumā sadarbojoties ar datu nosūtītāju:

e)

Ja datu subjekta pieprasījumi ir pārmērīgi, jo īpaši to regulāras atkārtošanās dēļ, datu saņēmējs var iekasēt saprātīgu samaksu, ņemot vērā pieprasījuma administratīvās izmaksas, vai atteikties veikt pieprasīto darbību.

f)

Datu saņēmējs var noraidīt datu subjekta pieprasījumu, ja šāds atteikums ir atļauts saskaņā ar galamērķa valsts tiesību aktiem un ja tas demokrātiskā sabiedrībā ir nepieciešami un samērīgi, lai aizsargātu kādu no mērķiem, kuri minēti Regulas (ES) 2016/679 23. panta 1. punktā.

g)

Ja datu saņēmējs ir paredzējis noraidīt datu subjekta pieprasījumu, tas informē datu subjektu par atteikuma iemesliem un par iespēju iesniegt sūdzību kompetentajai uzraudzības iestādei un/vai tiesiskās aizsardzības saņemšanu.

a)

Datu saņēmējs nekavējoties informē datu nosūtītāju par jebkuru pieprasījumu, kuru tas saņēmis no datu subjekta. Datu saņēmējs pats nesniedz atbildi uz šo pieprasījumu, ja vien datu nosūtītājs to nav atļāvis darīt.

b)

Datu saņēmējs palīdz datu nosūtītājam izpildīt pienākumus atbildēt uz datu subjektu pieprasījumiem, īstenojot to tiesības saskaņā ar Regulu (ES) 2016/679. Šajā saistībā puses II pielikumā nosaka tādus atbilstošus tehniskos un organizatoriskos pasākumus, ņemot vērā apstrādes raksturu, kuri tiks izmantoti palīdzības sniegšanai, kā arī vajadzīgās palīdzības tvērumu un apjomu.

c)

Izpildot savus pienākumus saskaņā ar a) un b) punktu, datu saņēmējam jāievēro datu nosūtītāja norādījumi.

a)

Datu saņēmējs nekavējoties informē datu nosūtītāju un attiecīgos gadījumos pārzini par jebkuru pieprasījumu, kuru tas saņēmis no datu subjekta, pats nesniedzot atbildi uz šo pieprasījumu, ja vien pārzinis to nav atļāvis darīt.

b)

Datu saņēmējs, attiecīgos gadījumos sadarbojoties ar datu nosūtītāju, palīdz pārzinim izpildīt pienākumus atbildēt uz datu subjektu pieprasījumiem, īstenojot to tiesības saskaņā ar Regulu (ES) 2016/679 vai Regulu (ES) 2018/1725. Šajā saistībā puses II pielikumā nosaka tādus atbilstošus tehniskos un organizatoriskos pasākumus, ņemot vērā apstrādes raksturu, kuri tiks izmantoti palīdzības sniegšanai, kā arī nepieciešamās palīdzības tvērumu un apjomu.

c)

Izpildot savus pienākumus saskaņā ar a) un b) punktu, datu saņēmējam jāievēro pārziņa norādījumi, kuri sniegti ar datu nosūtītāja starpniecību.

a)

Datu saņēmējs informē datu subjektus pārredzamā un viegli pieejamā veidā ar atsevišķu paziņojumu starpniecību vai savā tīmekļa vietnē par kontaktpunktu, kas pilnvarots izskatīt sūdzības. Tas nekavējoties izskata visas no datu subjektiem saņemtās sūdzības.

[IZVĒLE. Datu saņēmējs piekrīt, ka datu subjekti var arī iesniegt sūdzību neatkarīgai strīdu izšķiršanas struktūrai (11), datu subjektam saistībā ar to nerodoties nekādām izmaksām. Tas informē datu subjektus a) punktā minētajā veidā par šādu tiesiskās aizsardzības mehānismu un par to, ka tiem nav obligāti tas jāizmanto vai jāievēro noteikta procedūra, cenšoties saņemt tiesisko aizsardzību.]

b)

Ja rodas domstarpības starp datu subjektu un vienu no pusēm attiecībā uz atbilstību šīm klauzulām, attiecīgā puse dara visu iespējamo, lai savlaicīgi atrisinātu jautājumu un panāktu izlīgumu. Puses savstarpēji sniedz informāciju par šādām domstarpībām un attiecīgos gadījumos sadarbojas, lai tās atrisinātu.

c)

Ja datu subjekts atsaucas uz ieinteresētās trešās personas tiesībām saskaņā ar 3. klauzulu, datu saņēmējs pieņem datu subjekta lēmumu:

d)

Puses pieņem, ka datu subjektu var pārstāvēt bezpeļņas struktūra, organizācija vai apvienība saskaņā ar nosacījumiem, kuri izklāstīti Regulas (ES) 2016/679 80. panta 1. punktā.

e)

Datu saņēmējs ievēro lēmumu, kas ir saistošs saskaņā ar piemērojamiem ES/dalībvalsts tiesību aktiem.

f)

Datu saņēmējs apstiprina, ka datu subjekta veiktā izvēle neskars viņa materiālās un procesuālās tiesības saņemt tiesisko aizsardzību saskaņā ar piemērojamiem tiesību aktiem.

a)

Katra puse ir atbildīga citu pušu priekšā par jebkuru kaitējumu, ko tā nodarījusi citām pusēm, jebkādā veidā pārkāpjot šīs klauzulas.

b)

Katra puse ir atbildīga datu subjekta priekšā, un datu subjektam ir tiesības saņemt kompensāciju par jebkādu materiālo vai nemateriālo kaitējumu, ko attiecīgā puse izraisījusi datu subjektam, pārkāpjot ieinteresēto trešo personu tiesības saskaņā ar šīm klauzulām. Tas neskar datu nosūtītāja atbildību saskaņā ar Regulu (ES) 2016/679.

c)

Ja par jebkādu datu subjektam nodarīto kaitējumu, kas izriet no šo klauzulu pārkāpuma, ir atbildīga vairāk nekā viena puse, visas atbildīgās puses ir solidāri atbildīgas un datu subjektam ir tiesības uzsākt tiesvedību pret jebkuru no šīm pusēm.

d)

Puses vienojas, ka gadījumā, ja viena puse ir uzskatāma par atbildīgu saskaņā ar c) punktu, tai ir tiesības pieprasīt no citas(-ām) puses(-ēm) kompensācijas daļu, kas atbilst tās(-o) atbildībai par kaitējumu.

e)

Datu saņēmējs nedrīkst atsaukties uz apstrādātāja vai apakšapstrādātāja rīcību, lai izvairītos no savas atbildības.

a)

Katra puse ir atbildīga citu pušu priekšā par jebkādu kaitējumu, ko tā nodarījusi citām pusēm, jebkādā veidā pārkāpjot šīs klauzulas.

b)

Datu saņēmējs ir atbildīgs datu subjekta priekšā, un datu subjektam ir tiesības saņemt kompensāciju par jebkādu materiālo vai nemateriālo kaitējumu, ko datu saņēmējs vai tā piesaistītais apakšapstrādātājs izraisījis datu subjektam, pārkāpjot ieinteresēto trešo personu tiesības saskaņā ar šīm klauzulām.

c)

Neatkarīgi no b) punkta datu nosūtītājs ir atbildīgs datu subjekta priekšā, un datu subjektam ir tiesības saņemt kompensāciju par jebkādu materiālo vai nemateriālo kaitējumu, ko datu nosūtītājs vai datu saņēmējs (vai tā piesaistītais apakšapstrādātājs) izraisa datu subjektam, pārkāpjot ieinteresēto trešo personu tiesības saskaņā ar šīm klauzulām. Tas neskar datu nosūtītāja atbildību un – ja datu nosūtītājs ir apstrādātājs, kas rīkojas pārziņa vārdā, – pārziņa atbildību saskaņā ar Regulu (ES) 2016/679 vai Regulu (ES) 2018/1725.

d)

Puses vienojas, ka tad, ja datu nosūtītājs uzskatāms par atbildīgu saskaņā ar c) punktu par kaitējumu, ko izraisījis datu saņēmējs (vai tā apakšapstrādātājs), tam ir tiesības pieprasīt no datu saņēmēja kompensācijas daļu, kas atbilst datu saņēmēja atbildībai par kaitējumu.

e)

Ja par jebkādu datu subjektam nodarīto kaitējumu, kas izriet no šo klauzulu pārkāpuma, ir atbildīga vairāk nekā viena puse, visas atbildīgās puses ir solidāri atbildīgas un datu subjektam ir tiesības uzsākt tiesvedību pret jebkuru no šīm pusēm.

f)

Puses vienojas, ka gadījumā, ja viena puse ir uzskatāma par atbildīgu saskaņā ar e) punktu, tai ir tiesības pieprasīt no citas(-ām) puses(-ēm) kompensācijas daļu, kas atbilst tās(-o) atbildībai par kaitējumu.

g)

Datu saņēmējs nedrīkst atsaukties uz apakšapstrādātāja rīcību, lai izvairītos no savas atbildības.

a)

[Ja datu nosūtītājs ir iedibināts ES dalībvalstī:] Kompetentās uzraudzības iestādes funkciju īsteno uzraudzības iestāde, kura ir atbildīga par to, lai nodrošinātu datu nosūtītāja atbilstību Regulai (ES) 2016/679 datu nosūtīšanas jomā, kā norādīts I.C pielikumā.

[Ja datu nosūtītājs nav iedibināts ES dalībvalstī, bet ietilpst Regulas (ES) 2016/679 teritoriālās piemērošanas jomā saskaņā ar 3. panta 2. punktu un ir iecēlis pārstāvi saskaņā ar Regulas (ES) 2016/679 27. panta 1. punktu:] Kompetentās uzraudzības iestādes funkciju īsteno tās dalībvalsts uzraudzības iestāde, kurā ir iedibināts pārstāvis Regulas (ES) 2016/679 27. panta 1. punkta izpratnē, kā norādīts I.C pielikumā.

[Ja datu nosūtītājs nav iedibināts ES dalībvalstī, bet ietilpst Regulas (ES) 2016/679 teritoriālās piemērošanas jomā saskaņā ar 3. panta 2. punktu, tomēr neieceļot pārstāvi saskaņā ar Regulas (ES) 2016/679 27. panta 2. punktu:] Kompetentās uzraudzības iestādes funkciju īsteno uzraudzības iestāde vienā no dalībvalstīm, kurās atrodas datu subjekti, kuru personas dati tiek nosūtīti saskaņā ar šīm klauzulām saistībā ar preču un pakalpojumu piedāvāšanu tiem vai kuru rīcība tiek novērota, kā norādīts I.C pielikumā.

b)

Datu saņēmējs piekrīt pakļauties kompetentās uzraudzības iestādes jurisdikcijai un sadarboties ar to jebkuru procedūru ietvaros, kuru mērķis ir nodrošināt atbilstību šīm klauzulām. Konkrētāk, datu saņēmējs piekrīt atbildēt uz jautājumiem, atļaut veikt revīzijas un ievērot uzraudzības iestādes pieņemtos pasākumus, tostarp korektīvos un kompensējošos pasākumus. Tas sniedz uzraudzības iestādei rakstisku apstiprinājumu, ka ir veiktas vajadzīgās darbības.

a)

Puses garantē, ka tām nav iemesla uzskatīt, ka galamērķa trešās valsts tiesību akti un prakse, kas attiecas uz datu saņēmēja veiktu personas datu apstrādi, tostarp jebkādas prasības izpaust personas datus vai pasākumi, ar kuriem tiek atļauta publisku iestāžu veikta piekļuve, neliedz datu saņēmējam īstenot šajās klauzulās paredzētos pienākumus. Tas balstās uz izpratni, ka tiesību akti un prakse, ar kuriem tiek ievērota pamattiesību un pamatbrīvību būtība un netiek pārsniegts līmenis, kas ir nepieciešams un samērīgs demokrātiskā sabiedrībā, lai garantētu kādu no Regulas (ES) 2016/679 23. panta 1. punktā minētajiem mērķiem, nav pretrunā šīm klauzulām.

b)

Puses paziņo, ka, sniedzot a) punktā minēto garantiju, tās ir pienācīgi ņēmušas vērā šādus elementus:

c)

Datu saņēmējs garantē, ka, veicot b) punktā minēto novērtējumu, tas ir darījis visu iespējamo, lai nodrošinātu datu nosūtītājam atbilstīgo informāciju, un apņemas turpināt sadarbību ar datu nosūtītāju, lai nodrošinātu atbilstību šīm klauzulām.

d)

Puses vienojas dokumentēt b) punktā minēto novērtējumu un pēc pieprasījuma darīt to pieejamu kompetentajai uzraudzības iestādei.

e)

Datu saņēmējs apņemas nekavējoties informēt datu nosūtītāju, ja pēc šo klauzulu apstiprināšanas un visā līguma darbības laikā tam ir iemesls uzskatīt, ka uz to attiecas vai turpmāk attieksies tiesību akti vai prakse, kas neatbilst a) punktā paredzētajām prasībām, tostarp pēc trešās valsts tiesību aktu grozījumiem vai pasākuma (piemēram, datu izpaušanas pieprasījums), kas liecina par tādu tiesību aktu īstenošanu praksē, kuri neatbilst a) punktā minētajām prasībām. [Trešajam modulim: datu nosūtītājs pārsūta paziņojumu pārzinim.]

f)

Pēc e) punktā minētā paziņojuma vai tad, ja datu nosūtītājam ir cits iemesls uzskatīt, ka datu saņēmējs vairs nevar pildīt savus pienākumus atbilstoši šīm klauzulām, datu nosūtītājs nekavējoties nosaka atbilstošus pasākumus (piemēram, tehniskus vai organizatoriskus pasākumus, lai nodrošinātu drošību un konfidencialitāti), kuri jāpieņem datu nosūtītājam un/vai datu saņēmējam situācijas risināšanai [trešajam modulim: attiecīgajos gadījumos veic apspriešanos ar pārzini]. Datu nosūtītājs aptur datu nosūtīšanu, ja tas uzskata, ka nav iespējams nodrošināt atbilstošas aizsardzības garantijas šādai nosūtīšanai vai arī pēc attiecīgu [trešajam modulim: pārziņa vai] kompetentās uzraudzības iestādes norādījumu saņemšanas. Šādā gadījumā datu nosūtītājam ir tiesības izbeigt līgumu, ciktāl tas attiecas uz personas datu apstrādi atbilstoši šīm klauzulām. Ja līgumu noslēgušas vairāk nekā divas puses, datu nosūtītājs var izmantot izbeigšanas tiesības tikai attiecībā uz konkrētu pusi, ja vien puses nav vienojušās citādi. Izbeidzot līgumu saskaņā ar šo klauzulu, tiek piemērots 16. klauzulas d) un e) punkts.

a)

Datu saņēmējs apņemas nekavējoties informēt datu nosūtītāju un, ja iespējams, datu subjektu (nepieciešamības gadījumā ar datu nosūtītāja palīdzību), ja:

[Trešajam modulim: datu nosūtītājs pārsūta paziņojumu pārzinim.]

b)

Ja datu saņēmējam ir aizliegts informēt datu nosūtītāju un/vai datu subjektu saskaņā ar galamērķa valsts tiesību aktiem, datu saņēmējs apņemas darīt visu iespējamo, lai panāktu aizlieguma atcelšanu, ar mērķi paziņot pēc iespējas vairāk informācijas pēc iespējas ātrāk. Datu saņēmējs apņemas dokumentēt savas darbības, lai varētu tās apliecināt pēc datu nosūtītāja pieprasījuma.

c)

Ja tas ir atļauts saskaņā ar galamērķa valsts tiesību aktiem, datu saņēmējs apņemas regulāri visā līguma darbības laikā sniegt datu nosūtītājam pēc iespējas vairāk būtiskas informācijas par saņemtajiem pieprasījumiem (konkrētāk, pieprasījumu skaits, pieprasīto datu veids, pieprasītāja(-as) iestādes(-es), tas, vai pieprasījumi ir apstrīdēti, un šādas apstrīdēšanas iznākums utt.). [Trešajam modulim: datu nosūtītājs pārsūta informāciju pārzinim.]

d)

Datu saņēmējs apņemas glabāt a)–c) punktā minēto informāciju līguma darbības laikā un pēc pieprasījuma darīt to pieejamu kompetentajai uzraudzības iestādei.

e)

Minētais a)–c) punkts neskar datu saņēmēja pienākumu saskaņā ar 14. klauzulas e) punktu un 16. klauzulu nekavējoties informēt datu nosūtītāju, ja nav iespējams nodrošināt atbilstību šīm klauzulām.

a)

Datu saņēmējs apņemas pārbaudīt datu izpaušanas pieprasījuma likumību, jo īpaši, vai tas ietilpst pieprasītājas publiskās iestādes pilnvarās, un apstrīdēt pieprasījumu, ja tas pēc rūpīga novērtējuma secina, ka pastāv pamats uzskatīt, ka pieprasījums ir nelikumīgs saskaņā ar galamērķa valsts tiesību aktiem, piemērojamiem pienākumiem saskaņā ar starptautiskajiem tiesību aktiem un starptautiskajiem savstarpējas atzīšanas principiem. Datu saņēmējs arī izmanto apelācijas iespējas, ievērojot minētos nosacījumus. Apstrīdot pieprasījumu, datu saņēmējs mēģina īstenot pagaidu pasākumus, lai apturētu pieprasījuma darbību, līdz kompetentā tiesu iestāde pieņem lēmumu par tā pamatotību. Tas neizpauž pieprasītos personas datus, kamēr tas nav jādara saskaņā ar piemērojamiem procedūras noteikumiem. Šīs prasības neskar datu saņēmēja pienākumus, paredzēti 14. klauzulas e) punktā.

b)

Datu saņēmējs apņemas dokumentēt savu juridisko novērtējumu un jebkādu izpaušanas pieprasījuma apstrīdēšanu un, ciktāl tas atļauts saskaņā ar galamērķa valsts tiesību aktiem, darīt dokumentus pieejamus datu nosūtītājam. Tas arī nodrošina šādas dokumentācijas pieejamību pēc kompetentās uzraudzības iestādes pieprasījuma. [Trešajam modulim: datu nosūtītājs dara novērtējumu pieejamu pārzinim.]

c)

Datu saņēmējs, atbildot uz izpaušanas pieprasījumu, apņemas sniegt minimālo pieļaujamo informācijas daudzumu, pamatojoties uz pieprasījuma saprātīgu interpretāciju.

a)

Datu saņēmējs nekavējoties informē datu nosūtītāju, ja tas kādu apsvērumu dēļ nevar nodrošināt atbilstību šīm klauzulām.

b)

Gadījumā, ja datu saņēmējs ir pārkāpis šīs klauzulas vai nevar nodrošināt atbilstību šīm klauzulām, datu nosūtītājs uz laiku aptur personas datu nosūtīšanu datu saņēmējam, kamēr atkal tiek nodrošināta atbilstība vai līgums tiek izbeigts. Tas neskar 14. klauzulas f) punktu.

c)

Datu nosūtītājam ir tiesības izbeigt līgumu, ciktāl tas attiecas uz personas datu apstrādi saskaņā ar šīm klauzulām, ja:

Šādos gadījumos tas informē kompetento uzraudzības iestādi [trešajam modulim: un pārzini] par šādu neatbilstību. Ja līgumu noslēgušas vairāk nekā divas puses, datu nosūtītājs var izmantot izbeigšanas tiesības tikai attiecībā uz konkrētu pusi, ja vien puses nav vienojušās citādi.

d)

[Pirmajam, otrajam un trešajam modulim: personas dati, kas nosūtīti pirms līguma izbeigšanas saskaņā ar c) punktu, pēc datu nosūtītāja izvēles nekavējoties jāatdod datu nosūtītājam vai pilnībā jādzēš. Tā pati prasība attiecas uz visām datu kopijām.] [Ceturtajam modulim: personas datus, kurus savācis datu nosūtītājs Eiropas Savienībā un kuri nosūtīti pirms līguma izbeigšanas saskaņā ar c) punktu, tostarp visas to kopijas, nekavējoties pilnībā dzēš.] Datu saņēmējs apliecina datu dzēšanu datu nosūtītājam. Līdz brīdim, kad dati tiek dzēsti vai nodoti atpakaļ, datu saņēmējs turpina nodrošināt atbilstību šīm klauzulām. Ja vietējos tiesību aktos attiecībā uz datu saņēmēju tiek aizliegta nosūtīto personas datu atdošana vai dzēšana, datu saņēmējs garantē, ka tas turpinās nodrošināt atbilstību šīm klauzulām un veiks datu apstrādi tikai tādā apmērā un tik ilgi, kā noteikts vietējos tiesību aktos.

e)

Jebkura puse var atcelt savu piekrišanu, ka tai ir saistošas šīs klauzulas, ja i) Eiropas Komisija pieņem tādu lēmumu saskaņā ar 45. panta 3. punktu Regulā (ES) 2016/679, kas attiecas uz to personas datu nosūtīšanu, kuriem piemēro šīs klauzulas, vai ii) Regula (ES) 2016/679 tiek ietverta tādas valsts tiesiskajā regulējumā, uz kuru tiek nosūtīti personas dati. Tas neskar citus pienākumus, kuri attiecas uz konkrēto apstrādi saskaņā ar Regulu (ES) 2016/679.

a)

Domstarpības, kas izriet no šīm klauzulām, risina ES dalībvalsts tiesas.

b)

Puses vienojas, ka tās būs _____ (norādīt dalībvalsti) tiesas.

c)

Datu subjekts var arī ierosināt tiesvedību pret datu nosūtītāju un/vai datu saņēmēju tādas dalībvalsts tiesās, kurā ir datu subjekta pastāvīgā dzīvesvieta.

d)

Puses vienojas pakļauties šādu tiesu jurisdikcijai.

Domstarpības, kas izriet no šīm klauzulām, risina _____ (norādīt valsti) tiesas.

1.

Adrese: …

Kontaktpersonas vārds un uzvārds, amats un kontaktinformācija: …

Darbības, kas attiecas uz nosūtītajiem datiem saskaņā ar šīm klauzulām: …

Paraksts un datums: …

Loma (pārzinis/apstrādātājs): …

2.

1.

Adrese: …

Kontaktpersonas vārds un uzvārds, amats un kontaktinformācija: …

Darbības, kas attiecas uz nosūtītajiem datiem saskaņā ar šīm klauzulām: …

Paraksts un datums: …

Loma (pārzinis/apstrādātājs): …

2.

1.

Adrese: …

Kontaktpersonas vārds un uzvārds, amats un kontaktinformācija: …

Apstrādes apraksts (tostarp skaidri noteikti pienākumi gadījumā, ja ir pilnvaroti vairāki apakšapstrādātāji): …

2.