(a)

Scopul prezentelor clauze contractuale standard este de a asigura respectarea cerințelor Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date (Regulamentul general privind protecția datelor) (1) în cazul transferului de date cu caracter personal către o țară terță.

(b)

Părțile:

au convenit asupra prezentelor clauze contractuale standard (denumite în continuare „clauzele”).

(c)

Prezentele clauze se aplică transferului de date cu caracter personal, astfel cum se specifică în anexa I.B.

(d)

Apendicele la prezentele clauze, care conține anexele menționate în acestea, face parte integrantă din prezentele clauze.

(a)

Prezentele clauze stabilesc garanții adecvate, inclusiv drepturi opozabile ale persoanelor vizate și căi de atac eficiente, în temeiul articolului 46 alineatul (1) și al articolului 46 alineatul (2) litera (c) din Regulamentul (UE) 2016/679 și, în ceea ce privește transferurile de date de la operatori către persoane împuternicite de operatori și/sau de la persoane împuternicite de operatori către persoane împuternicite de operatori, clauze contractuale standard în temeiul articolului 28 alineatul (7) din Regulamentul (UE) 2016/679, cu condiția să nu fie modificate, cu excepția selectării modulului (modulelor) corespunzător (corespunzătoare) sau a adăugării de informații în apendice ori a actualizării informațiilor prevăzute în apendice. Acest lucru nu împiedică părțile să includă clauzele contractuale standard prevăzute în prezentele clauze în cadrul unui contract mai amplu și/sau să adauge alte clauze sau garanții suplimentare, atât timp cât acestea nu contravin, direct sau indirect, prezentelor clauze sau nu aduc atingere drepturilor sau libertăților fundamentale ale persoanelor vizate.

(b)

Prezentele clauze nu aduc atingere obligațiilor care îi revin exportatorului de date în temeiul Regulamentului (UE) 2016/679.

(a)

Persoanele vizate pot invoca și obține executarea prezentelor clauze, în calitate de terți beneficiari, împotriva exportatorului de date și/sau a importatorului de date, cu următoarele excepții:

(b)

Litera (a) nu aduce atingere drepturilor pe care le au persoanele vizate în temeiul Regulamentului (UE) 2016/679.

(a)

În cazul în care prezentele clauze utilizează termenii definiți în Regulamentul (UE) 2016/679, acești termeni au același sens ca în regulament.

(b)

Prezentele clauze trebuie citite și interpretate în lumina dispozițiilor Regulamentului (UE) 2016/679.

(c)

Prezentele clauze nu trebuie interpretate într-un mod care contravine drepturilor și obligațiilor prevăzute în Regulamentul (UE) 2016/679.

(a)

O entitate care nu este parte la prezentele clauze poate adera, cu acordul părților, la prezentele clauze în orice moment în calitate de exportator de date sau de importator de date prin completarea apendicelui și prin semnarea anexei I.A.

(b)

După completarea apendicelui și semnarea anexei I.A, entitatea care a aderat devine parte la prezentele clauze și are drepturile și obligațiile unui exportator de date sau ale unui importator de date, în conformitate cu desemnarea sa prevăzută în anexa I.A.

(c)

Entitatea care a aderat nu are drepturi sau obligații ce decurg din prezentele clauze pentru perioada anterioară dobândirii calității de parte.

(i)

în cazul în care a obținut consimțământul prealabil al persoanei vizate;

(ii)

în cazul în care acest lucru este necesar pentru constatarea, exercitarea sau apărarea unui drept în instanță în contextul unor proceduri administrative, de reglementare sau judiciare specifice; sau

(iii)

în cazul în care acest lucru este necesar pentru a proteja interesele vitale ale persoanei vizate sau ale unei alte persoane fizice.

(a)

Pentru ca persoanele vizate să își poată exercită în mod efectiv drepturile prevăzute la clauza 10, importatorul de date le informează, fie direct, fie prin intermediul exportatorului de date:

(b)

Litera (a) nu se aplică în cazul în care persoana vizată deține deja informațiile, inclusiv atunci când aceste informații au fost deja furnizate de exportatorul de date, sau în cazul în care furnizarea acestor informații se dovedește imposibilă sau ar implica un efort disproporționat din partea importatorului de date. În acest din urmă caz, importatorul de date pune informațiile la dispoziția publicului, în măsura posibilului.

(c)

La cerere, părțile pun gratuit la dispoziția persoanei vizate o copie a prezentelor clauze, inclusiv a apendicelui, astfel cum a fost completat de către părți. În măsura în care acest lucru este necesar pentru a proteja secretele de afaceri sau alte informații confidențiale, inclusiv date cu caracter personal, părțile pot să mascheze o parte din textul apendicelui înainte de a transmite o copie, dar trebuie să furnizeze un rezumat relevant dacă, fără un astfel de rezumat, persoana vizată nu ar putea să înțeleagă conținutul acestuia sau nu și-ar putea exercita drepturile. La cerere, părțile trebuie să informeze persoana vizată cu privire la motivele mascării textului, pe cât de mult posibil fără a dezvălui informațiile mascate.

(d)

Literele (a)-(c) nu aduc atingere obligațiilor care îi revin exportatorului de date în temeiul articolelor 13 și 14 din Regulamentul (UE) 2016/679.

(a)

Fiecare parte se asigură că datele cu caracter personal sunt exacte și, dacă este necesar, actualizate. Importatorul de date ia toate măsurile rezonabile pentru a se asigura că datele cu caracter personal care sunt inexacte, având în vedere scopul (scopurile) prelucrării, sunt șterse sau rectificate fără întârziere.

(b)

În cazul în care una dintre părți constată că datele cu caracter personal pe care le-a transferat sau le-a primit sunt inexacte sau nu mai sunt de actualitate, aceasta informează cealaltă parte fără întârzieri nejustificate.

(c)

Importatorul de date se asigură că datele cu caracter personal sunt adecvate, relevante și limitate la ceea ce este necesar în raport cu scopul (scopurile) prelucrării.

(a)

Importatorul de date și, de asemenea, în timpul transmiterii, exportatorul de date implementează măsuri tehnice și organizatorice adecvate pentru a asigura securitatea datelor cu caracter personal, inclusiv protecția împotriva unei încălcări a securității datelor care duce, în mod accidental sau ilegal, la distrugerea, pierderea, modificarea, divulgarea neautorizată a datelor cu caracter personal sau accesul neautorizat la acestea (denumită în continuare „încălcarea securității datelor cu caracter personal”). La evaluarea nivelului adecvat de securitate, aceștia iau în considerare în mod corespunzător stadiul actual al tehnologiei, costurile implementării, natura, domeniul de aplicare, contextul și scopul (scopurile) prelucrării, precum și riscurile la care sunt expuse persoanele vizate ca urmare a prelucrării. Părțile iau în considerare, în special, recurgerea la criptare sau la pseudonimizare, inclusiv în timpul transmiterii, în cazul în care acest lucru nu împiedică îndeplinirea scopului prelucrării.

(b)

Părțile au convenit asupra măsurilor tehnice și organizatorice prevăzute în anexa II. Importatorul de date efectuează verificări periodice pentru a se asigura că aceste măsuri garantează în continuare un nivel adecvat de securitate.

(c)

Importatorul de date se asigură că persoanele autorizate să prelucreze datele cu caracter personal s-au angajat să respecte confidențialitatea sau au o obligație statutară adecvată de confidențialitate.

(d)

În cazul unei încălcări a securității datelor cu caracter personal în ceea ce privește datele cu caracter personal prelucrate de importatorul de date în temeiul prezentelor clauze, importatorul de date ia măsurile corespunzătoare pentru a remedia încălcarea securității datelor cu caracter personal, inclusiv măsuri de atenuare a eventualelor sale efecte negative.

(e)

În cazul unei încălcări a securității datelor cu caracter personal care este susceptibilă să genereze un risc pentru drepturile și libertățile persoanelor fizice, importatorul de date notifică, fără întârzieri nejustificate, această încălcare atât exportatorului de date, cât și autorității de supraveghere competente în temeiul clauzei 13. O astfel de notificare conține (i) o descriere a caracterului încălcării securității datelor (inclusiv, dacă este posibil, categoriile de persoane vizate în cauză, precum și numărul aproximativ de persoane vizate și de înregistrări de date în cauză); (ii) consecințele probabile ale încălcării securității datelor; (iii) măsurile luate sau propuse spre a fi luate pentru a remedia încălcarea securității datelor și (iv) coordonatele unui punct de contact de unde se pot obține mai multe informații. În măsura în care importatorul de date nu poate să furnizeze toate informațiile în același timp, acesta le poate furniza în etape, fără alte întârzieri nejustificate.

(f)

În cazul unei încălcări a securității datelor cu caracter personal care este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile persoanelor fizice, importatorul de date notifică, de asemenea, fără întârzieri nejustificate, încălcarea securității datelor cu caracter personal și natura acesteia persoanelor vizate afectate de respectiva încălcare, dacă este necesar în cooperare cu exportatorul de date, și furnizează informațiile menționate la litera (e) punctele (ii)-(iv), cu excepția cazului în care importatorul de date a implementat măsuri menite să reducă în mod semnificativ riscul pentru drepturile sau libertățile persoanelor fizice sau cu excepția cazului în care notificarea ar implica eforturi disproporționate. În acest din urmă caz, importatorul de date efectuează, în schimb, o informare publică sau ia o măsură similară de informare a publicului cu privire la încălcarea securității datelor cu caracter personal.

(g)

Importatorul de date păstrează documente referitoare la toate elementele relevante care au legătură cu încălcarea securității datelor cu caracter personal, inclusiv documente referitoare la efectele respectivei încălcări și la orice măsură de remediere întreprinsă, și ține o evidență a acestora.

(i)

se efectuează către o țară care beneficiază de o decizie privind caracterul adecvat al nivelului de protecție în temeiul articolului 45 din Regulamentul (UE) 2016/679 care acoperă transferul ulterior;

(ii)

terțul asigură în alt mod garanții adecvate în temeiul articolului 46 sau 47 din Regulamentul (UE) 2016/679 în ceea ce privește prelucrarea în cauză;

(iii)

terțul încheie cu importatorul de date un act juridic obligatoriu care asigură același nivel de protecție a datelor ca cel furnizat în temeiul prezentelor clauze, iar importatorul de date îi transmite exportatorului de date o copie a acestor garanții;

(iv)

este necesar pentru constatarea, exercitarea sau apărarea unui drept în instanță în contextul unor proceduri administrative, de reglementare sau judiciare specifice;

(v)

este necesar pentru a proteja interesele vitale ale persoanei vizate sau ale unei alte persoane fizice; sau

(vi)

atunci când nu se aplică niciuna dintre celelalte condiții, importatorul de date a obținut consimțământul explicit al persoanei vizate pentru un transfer ulterior într-o situație specifică, după ce a informat-o cu privire la scopul (scopurile) acestuia, la identitatea destinatarului și la posibilele riscuri ale unui astfel de transfer pentru persoana vizată din cauza lipsei unor garanții adecvate în materie de protecție a datelor. În acest caz, importatorul de date îl informează pe exportatorul de date și, la cererea acestuia, îi transmite o copie a informațiilor furnizate persoanei vizate.

(a)

Fiecare parte trebuie să poată demonstra respectarea obligațiilor care îi revin în temeiul prezentelor clauze. În special, importatorul de date păstrează documentația corespunzătoare privind activitățile de prelucrare desfășurate sub responsabilitatea sa.

(b)

Importatorul de date pune această documentație la dispoziția autorității de supraveghere competente, la cerere.

(a)

Importatorul de date prelucrează datele cu caracter personal numai pe baza unor instrucțiuni documentate din partea exportatorului de date. Exportatorul de date poate da astfel de instrucțiuni pe toată durata contractului.

(b)

Importatorul de date îl informează imediat pe exportatorul de date dacă nu este în măsură să urmeze aceste instrucțiuni.

(a)

Importatorul de date și, de asemenea, în timpul transmiterii, exportatorul de date implementează măsuri tehnice și organizatorice adecvate pentru a asigura securitatea datelor, inclusiv protecția împotriva unei încălcări a securității datelor care duce, în mod accidental sau ilegal, la distrugerea, pierderea, modificarea, divulgarea neautorizată a datelor cu caracter personal sau accesul neautorizat la acestea (denumită în continuare „încălcarea securității datelor cu caracter personal”). La evaluarea nivelului adecvat de securitate, părțile iau în considerare în mod corespunzător stadiul actual al tehnologiei, costurile implementării, natura, domeniul de aplicare, contextul și scopul (scopurile) prelucrării, precum și riscurile la care sunt expuse persoanele vizate ca urmare a prelucrării. Părțile iau în considerare, în special, recurgerea la criptare sau la pseudonimizare, inclusiv în timpul transmiterii, în cazul în care acest lucru nu împiedică îndeplinirea scopului prelucrării. În cazul pseudonimizării, informațiile suplimentare care permit atribuirea datelor cu caracter personal unei anumite persoane vizate rămân, dacă este posibil, sub controlul exclusiv al exportatorului de date. La respectarea obligațiilor care îi revin în temeiul prezentului paragraf, importatorul de date pune în aplicare cel puțin măsurile tehnice și organizatorice specificate în anexa II. Importatorul de date efectuează verificări periodice pentru a se asigura că aceste măsuri garantează în continuare un nivel adecvat de securitate.

(b)

Importatorul de date acordă membrilor personalului său acces la datele cu caracter personal numai în măsura în care acest lucru este strict necesar pentru executarea, gestionarea și monitorizarea contractului. Exportatorul de date se asigură că persoanele autorizate să prelucreze datele cu caracter personal s-au angajat să respecte confidențialitatea sau au o obligație legală adecvată de confidențialitate.

(c)

În cazul unei încălcări a securității datelor cu caracter personal în ceea ce privește datele cu caracter personal prelucrate de importatorul de date în temeiul prezentelor clauze, importatorul de date ia măsurile corespunzătoare pentru a remedia încălcarea securității datelor, inclusiv măsuri de atenuare a efectelor sale negative. De asemenea, după ce a luat cunoștință de respectiva încălcare a securității datelor, importatorul de date transmite, fără întârzieri nejustificate, o notificare exportatorului de date. Această notificare trebuie să conțină coordonatele unui punct de contact de unde se pot obține mai multe informații, o descriere a caracterului încălcării securității datelor (inclusiv, dacă este posibil, categoriile de persoane vizate în cauză, precum și numărul aproximativ de persoane vizate și de înregistrări de date în cauză), consecințele probabile ale încălcării securității datelor și măsurile luate sau propuse spre a fi luate pentru a remedia încălcarea securității datelor, inclusiv, după caz, măsuri de atenuare a eventualelor sale efecte negative. Atunci când și în măsura în care nu este posibil să se furnizeze toate informațiile în același timp, notificarea inițială trebuie să conțină informațiile disponibile la momentul respectiv, informațiile suplimentare urmând să fie puse la dispoziție ulterior, fără întârzieri nejustificate, pe măsură ce devin disponibile.

(d)

Importatorul de date cooperează cu exportatorul de date și îi acordă asistența necesară pentru ca acesta să își respecte obligațiile care îi revin în temeiul Regulamentului (UE) 2016/679, în special aceea de a informa autoritatea de supraveghere competentă și persoanele vizate afectate, ținând seama de natura prelucrării și de informațiile aflate la dispoziția importatorului de date.

(i)

transferul ulterior este efectuat către o țară care beneficiază de o decizie privind caracterul adecvat al nivelului de protecție în temeiul articolului 45 din Regulamentul (UE) 2016/679 care acoperă transferul ulterior;

(ii)

terțul asigură în alt mod garanții adecvate în temeiul articolului 46 sau 47 din Regulamentul (UE) 2016/679 în ceea ce privește prelucrarea în cauză;

(iii)

transferul ulterior este necesar pentru constatarea, exercitarea sau apărarea unui drept în instanță în contextul unor proceduri administrative, de reglementare sau judiciare specifice; sau

(iv)

transferul ulterior este necesar pentru a proteja interesele vitale ale persoanei vizate sau ale unei alte persoane fizice.

(a)

Importatorul de date răspunde cu promptitudine și în mod adecvat cererilor de informații din partea exportatorului de date care se referă la prelucrarea efectuată în temeiul prezentelor clauze.

(b)

Părțile trebuie să poată demonstra respectarea obligațiilor care le revin în temeiul prezentelor clauze. În special, importatorul de date păstrează documentația corespunzătoare privind activitățile de prelucrare efectuate în numele exportatorului de date.

(c)

Importatorul de date pune la dispoziția exportatorului de date toate informațiile necesare pentru a demonstra respectarea obligațiilor prevăzute în prezentele clauze și, la cererea exportatorului de date, permite efectuarea de audituri ale activităților de prelucrare acoperite de prezentele clauze și contribuie la aceste audituri, la intervale rezonabile sau dacă există indicii de neconformitate. În luarea unei decizii privind efectuarea unei analize sau a unui audit, exportatorul de date poate ține seama de certificările relevante deținute de importatorul de date.

(d)

Exportatorul de date poate alege să efectueze el însuși auditul sau să mandateze în acest scop un auditor independent. Auditurile pot include inspecții la sediile sau la instalațiile fizice ale importatorului de date și se efectuează, dacă este cazul, în urma transmiterii unui preaviz rezonabil.

(e)

La cerere, părțile pun la dispoziția autorității de supraveghere competente informațiile prevăzute la literele (b) și (c), inclusiv rezultatele oricărui audit.

(a)

Exportatorul de date l-a informat pe importatorul de date că acționează în calitate de persoană împuternicită de operator în conformitate cu instrucțiunile operatorului (operatorilor) său (săi), pe care exportatorul de date le pune la dispoziția importatorului de date înainte de prelucrare.

(b)

Importatorul de date prelucrează datele cu caracter personal numai pe baza unor instrucțiuni documentate din partea operatorului, astfel cum au fost comunicate importatorului de date de către exportatorul de date, precum și pe baza oricăror instrucțiuni suplimentare documentate din partea exportatorului de date. Aceste instrucțiuni suplimentare nu contravin instrucțiunilor din partea operatorului. Operatorul sau exportatorul de date poate da instrucțiuni documentate suplimentare cu privire la prelucrarea datelor pe întreaga durată a contractului.

(c)

Importatorul de date îl informează imediat pe exportatorul de date dacă nu este în măsură să urmeze aceste instrucțiuni. În cazul în care importatorul de date nu este în măsură să urmeze instrucțiunile operatorului, exportatorul de date notifică imediat acest fapt operatorului.

(d)

Exportatorul de date garantează că a impus importatorului de date aceleași obligații în materie de protecție a datelor ca cele prevăzute în contractul sau în alt act juridic în temeiul dreptului Uniunii sau al dreptului intern încheiat între operator și exportatorul de date (5).

(a)

Importatorul de date și, de asemenea, în timpul transmiterii, exportatorul de date implementează măsuri tehnice și organizatorice adecvate pentru a asigura securitatea datelor, inclusiv protecția împotriva unei încălcări a securității datelor care duce, în mod accidental sau ilegal, la distrugerea, pierderea, modificarea, divulgarea neautorizată a datelor cu caracter personal sau accesul neautorizat la acestea (denumită în continuare „încălcarea securității datelor cu caracter personal”). La evaluarea nivelului adecvat de securitate, aceștia iau în considerare în mod corespunzător stadiul actual al tehnologiei, costurile implementării, natura, domeniul de aplicare, contextul și scopul (scopurile) prelucrării, precum și riscurile la care sunt expuse persoanele vizate ca urmare a prelucrării. Părțile iau în considerare, în special, recurgerea la criptare sau la pseudonimizare, inclusiv în timpul transmiterii, în cazul în care acest lucru nu împiedică îndeplinirea scopului prelucrării. În cazul pseudonimizării, informațiile suplimentare care permit atribuirea datelor cu caracter personal unei anumite persoane vizate rămân, dacă este posibil, sub controlul exclusiv al exportatorului de date sau al operatorului. La respectarea obligațiilor care îi revin în temeiul prezentului paragraf, importatorul de date pune în aplicare cel puțin măsurile tehnice și organizatorice specificate în anexa II. Importatorul de date efectuează verificări periodice pentru a se asigura că aceste măsuri garantează în continuare un nivel adecvat de securitate.

(b)

Importatorul de date acordă membrilor personalului său acces la date numai în măsura în care acest lucru este strict necesar pentru executarea, gestionarea și monitorizarea contractului. Exportatorul de date se asigură că persoanele autorizate să prelucreze datele cu caracter personal s-au angajat să respecte confidențialitatea sau au o obligație legală adecvată de confidențialitate.

(c)

În cazul unei încălcări a securității datelor cu caracter personal în ceea ce privește datele cu caracter personal prelucrate de importatorul de date în temeiul prezentelor clauze, importatorul de date ia măsurile corespunzătoare pentru a remedia încălcarea securității datelor, inclusiv măsuri de atenuare a efectelor sale negative. De asemenea, după ce a luat cunoștință de respectiva încălcare a securității datelor, importatorul de date transmite, fără întârzieri nejustificate, o notificare exportatorului de date și, dacă este oportun și fezabil, operatorului. Această notificare trebuie să conțină coordonatele unui punct de contact de unde se pot obține mai multe informații, o descriere a caracterului încălcării securității datelor (inclusiv, dacă este posibil, categoriile de persoane vizate în cauză, precum și numărul aproximativ de persoane vizate și de înregistrări de date în cauză), consecințele probabile ale încălcării securității datelor și măsurile luate sau propuse spre a fi luate pentru a remedia încălcarea securității datelor, inclusiv, după caz, măsuri de atenuare a eventualelor sale efecte negative. Atunci când și în măsura în care nu este posibil să se furnizeze toate informațiile în același timp, notificarea inițială trebuie să conțină informațiile disponibile la momentul respectiv, informațiile suplimentare urmând să fie puse la dispoziție ulterior, fără întârzieri nejustificate, pe măsură ce devin disponibile.

(d)

Importatorul de date cooperează cu exportatorul de date și îi acordă asistența necesară pentru ca acesta să își respecte obligațiile care îi revin în temeiul Regulamentului (UE) 2016/679, în special aceea de a transmite o notificare operatorului său, astfel încât acesta din urmă să poată informa la rândul său autoritatea de supraveghere competentă și persoanele vizate afectate, ținând seama de natura prelucrării și de informațiile aflate la dispoziția importatorului de date.

(i)

transferul ulterior este efectuat către o țară care beneficiază de o decizie privind caracterul adecvat al nivelului de protecție în temeiul articolului 45 din Regulamentul (UE) 2016/679 care acoperă transferul ulterior;

(ii)

terțul asigură în alt mod garanții adecvate în temeiul articolului 46 sau 47 din Regulamentul (UE) 2016/679;

(iii)

transferul ulterior este necesar pentru constatarea, exercitarea sau apărarea unui drept în instanță în contextul unor proceduri administrative, de reglementare sau judiciare specifice; sau

(iv)

transferul ulterior este necesar pentru a proteja interesele vitale ale persoanei vizate sau ale unei alte persoane fizice.

(a)

Importatorul de date răspunde cu promptitudine și în mod adecvat cererilor de informații din partea exportatorului de date sau a operatorului care se referă la prelucrarea efectuată în temeiul prezentelor clauze.

(b)

Părțile trebuie să poată demonstra respectarea obligațiilor care le revin în temeiul prezentelor clauze. În special, importatorul de date păstrează documentația corespunzătoare privind activitățile de prelucrare efectuate în numele operatorului.

(c)

Importatorul de date pune la dispoziția exportatorului de date toate informațiile necesare pentru a demonstra respectarea obligațiilor prevăzute în prezentele clauze, iar acesta le furnizează operatorului.

(d)

Importatorul de date permite efectuarea de către exportatorul de date de audituri ale activităților de prelucrare acoperite de prezentele clauze și contribuie la aceste audituri, la intervale rezonabile sau în cazul în care există indicii de neconformitate. Aceeași dispoziție se aplică în cazul în care exportatorul de date solicită efectuarea unui audit la instrucțiunile operatorului. În luarea unei decizii privind efectuarea unui audit, exportatorul de date poate ține seama de certificările relevante deținute de importatorul de date.

(e)

În cazul în care auditul se efectuează la instrucțiunile operatorului, exportatorul de date pune rezultatele la dispoziția operatorului.

(f)

Exportatorul de date poate alege să efectueze el însuși auditul sau să mandateze în acest scop un auditor independent. Auditurile pot include inspecții la sediile sau la instalațiile fizice ale importatorului de date și se efectuează, dacă este cazul, în urma transmiterii unui preaviz rezonabil.

(g)

La cerere, părțile pun la dispoziția autorității de supraveghere competente informațiile prevăzute la literele (b) și (c), inclusiv rezultatele oricărui audit.

(a)

Exportatorul de date prelucrează datele cu caracter personal numai pe baza unor instrucțiuni documentate din partea importatorului de date care acționează în calitate de operator.

(b)

Exportatorul de date îl informează imediat pe importatorul de date dacă nu este în măsură să urmeze aceste instrucțiuni, inclusiv dacă aceste instrucțiuni încalcă Regulamentul (UE) 2016/679 sau alte dispoziții ale dreptului Uniunii sau ale dreptului intern în materie de protecție a datelor.

(c)

Importatorul de date nu întreprinde nicio acțiune care l-ar împiedica pe exportatorul de date să își îndeplinească obligațiile care îi revin în temeiul Regulamentului (UE) 2016/679, inclusiv în contextul subcontractării sau în ceea ce privește cooperarea cu autoritățile de supraveghere competente.

(d)

După încheierea prestării serviciilor de prelucrare, exportatorul de date, la alegerea importatorului de date, șterge toate datele cu caracter personal prelucrate în numele importatorului de date și îi prezintă importatorului de date dovada faptului că întreprins această acțiune sau îi returnează importatorului de date toate datele cu caracter personal prelucrate în numele său și șterge copiile existente.

(a)

Părțile implementează măsuri tehnice și organizatorice adecvate pentru a asigura securitatea datelor, inclusiv în timpul transmiterii, și protecția împotriva unei încălcări a securității datelor care duce, în mod accidental sau ilegal, la distrugerea, pierderea, modificarea, divulgarea neautorizată a datelor sau accesul neautorizat la acestea (denumită în continuare „încălcarea securității datelor cu caracter personal”). La evaluarea nivelului adecvat de securitate, acestea iau în considerare în mod corespunzător stadiul actual al tehnologiei, costurile implementării, natura datelor cu caracter personal (7), natura, domeniul de aplicare, contextul și scopul (scopurile) prelucrării și riscurile pe care le implică prelucrarea pentru persoanele vizate și, în special, iau în considerare recurgerea la criptare sau la pseudonimizare, inclusiv în timpul transmiterii, în cazul în care acest lucru nu împiedică îndeplinirea scopului prelucrării.

(b)

Exportatorul de date îi acordă asistență importatorului de date pentru a asigura securitatea adecvată a datelor în conformitate cu dispozițiile prevăzute la litera (a). În cazul unei încălcări a securității datelor cu caracter personal în ceea ce privește datele cu caracter personal prelucrate de exportatorul de date în temeiul prezentelor clauze, exportatorul de date notifică această încălcare importatorului de date fără întârzieri nejustificate după ce a luat cunoștință de aceasta și îi acordă asistență importatorului de date în remedierea încălcării.

(c)

Exportatorul de date se asigură că persoanele autorizate să prelucreze datele cu caracter personal s-au angajat să respecte confidențialitatea sau au o obligație legală adecvată de confidențialitate.

(a)

Părțile trebuie să poată demonstra respectarea obligațiilor care le revin în temeiul prezentelor clauze.

(b)

Exportatorul de date pune la dispoziția importatorului de date toate informațiile necesare pentru a demonstra respectarea obligațiilor care îi revin în temeiul prezentelor clauze și permite efectuarea de audituri și contribuie la aceste audituri.

(a)

OPȚIUNEA 1: AUTORIZAȚIE PREALABILĂ SPECIFICĂ Importatorul de date nu subcontractează niciuna dintre activitățile sale de prelucrare efectuate în numele exportatorului de date în temeiul prezentelor clauze către un subcontractant fără autorizația scrisă specifică prealabilă a exportatorului de date. Importatorul de date depune cererea de acordare a autorizației specifice cu cel puțin [a se specifica perioada] înainte de recrutarea subcontractantului în cauză, însoțită de informațiile de care exportatorul de date are nevoie pentru a lua o decizie privind acordarea autorizației. Lista subcontractanților care sunt deja autorizați de exportatorul de date este prevăzută în anexa III. Părțile au obligația să se asigure că anexa III este actualizată.

OPȚIUNEA 2: AUTORIZAȚIE SCRISĂ GENERALĂ Importatorul de date deține autorizația generală din partea exportatorului de date de a recruta subcontractantul (subcontractanții) care figurează pe o listă convenită. Importatorul de date îl informează în mod specific în scris pe exportatorul de date cu privire la orice modificări preconizate ale listei prin adăugarea sau înlocuirea subcontractanților cu cel puțin [a se specifica perioada] înainte, oferindu-i astfel exportatorului de date suficient timp pentru a putea formula obiecții referitoare la aceste modificări înainte de recrutarea subcontractantului (subcontractanților). Importatorul de date îi furnizează exportatorului de date informațiile de care acesta are nevoie pentru a-și exercita dreptul la opoziție.

(b)

În cazul în care importatorul de date recrutează un subcontractant pentru desfășurarea unor activități de prelucrare specifice (în numele exportatorului de date), acesta efectuează recrutarea printr-un contract scris care prevede, pe fond, aceleași obligații în materie de protecție a datelor ca cele care îi revin importatorului de date în temeiul prezentelor clauze, inclusiv în ceea ce privește drepturile terților beneficiari pentru persoanele vizate (8). Părțile convin că, prin respectarea prezentei clauze, importatorul de date își îndeplinește obligațiile care îi revin în temeiul clauzei 8.8. Importatorul de date se asigură că subcontractantul respectă obligațiile care îi revin importatorului de date în temeiul prezentelor clauze.

(c)

Importatorul de date furnizează exportatorului de date, la cererea acestuia, o copie a unui astfel de contract de subcontractare și orice modificări ulterioare ale acestuia. În măsura în care acest lucru este necesar pentru a proteja secretele de afaceri sau alte informații confidențiale, inclusiv date cu caracter personal, importatorul de date poate să mascheze textul contractului înainte de a transmite o copie.

(d)

Importatorul de date rămâne pe deplin responsabil față de exportatorul de date pentru îndeplinirea obligațiilor subcontractantului în temeiul contractului său cu importatorul de date. Importatorul de date notifică exportatorului de date orice neîndeplinire de către subcontractant a obligațiilor care îi revin în temeiul contractului respectiv.

(e)

Importatorul de date convine cu subcontractantul asupra unei clauze privind terțul beneficiar, conform căreia – în cazul în care importatorul de date a dispărut în fapt, și-a încetat existența de drept sau a devenit insolvabil – exportatorul de date are dreptul de a rezilia contractul cu subcontractantul și de a-i da subcontractantului instrucțiuni să șteargă sau să returneze datele cu caracter personal.

(a)

OPȚIUNEA 1: AUTORIZAȚIE PREALABILĂ SPECIFICĂ Importatorul de date nu subcontractează niciuna dintre activitățile sale de prelucrare efectuate în numele exportatorului de date în temeiul prezentelor clauze către un subcontractant fără autorizația scrisă specifică prealabilă a operatorului. Importatorul de date depune cererea de acordare a autorizației specifice cu cel puțin [a se specifica perioada] înainte de recrutarea subcontractantului în cauză, însoțită de informațiile de care operatorul are nevoie pentru a lua o decizie privind acordarea autorizației. Acesta îl informează pe exportatorul de date cu privire la o astfel de recrutare. Lista subcontractanților care sunt deja autorizați de operator este prevăzută în anexa III. Părțile au obligația să se asigure că anexa III este actualizată.

OPȚIUNEA 2: AUTORIZAȚIE SCRISĂ GENERALĂ Importatorul de date deține autorizația generală din partea operatorului de a recruta subcontractantul (subcontractanții) care figurează pe o listă convenită. Importatorul de date îl informează în mod specific în scris pe operator cu privire la orice modificări preconizate ale listei prin adăugarea sau înlocuirea subcontractanților cu cel puțin [a se specifica perioada] înainte, oferindu-i astfel operatorului suficient timp pentru a putea formula obiecții referitoare la aceste modificări înainte de recrutarea subcontractantului (subcontractanților). Importatorul de date îi furnizează operatorului informațiile de care acesta are nevoie pentru a-și exercita dreptul la opoziție. Importatorul de date îl informează pe exportatorul de date cu privire la recrutarea subcontractantului (subcontractanților).

(b)

În cazul în care importatorul de date recrutează un subcontractant pentru desfășurarea unor activități de prelucrare specifice (în numele operatorului), acesta efectuează recrutarea printr-un contract scris care prevede, pe fond, aceleași obligații în materie de protecție a datelor ca cele care îi revin importatorului de date în temeiul prezentelor clauze, inclusiv în ceea ce privește drepturile terților beneficiari pentru persoanele vizate (9). Părțile convin că, prin respectarea prezentei clauze, importatorul de date își îndeplinește obligațiile care îi revin în temeiul clauzei 8.8. Importatorul de date se asigură că subcontractantul respectă obligațiile care îi revin importatorului de date în temeiul prezentelor clauze.

(c)

Importatorul de date furnizează, la cererea exportatorului de date sau a operatorului, o copie a acestui contract de subcontractare și a oricăror modificări ulterioare. În măsura în care acest lucru este necesar pentru a proteja secretele de afaceri sau alte informații confidențiale, inclusiv date cu caracter personal, importatorul de date poate să mascheze textul contractului înainte de a transmite o copie.

(d)

Importatorul de date rămâne pe deplin responsabil față de exportatorul de date pentru îndeplinirea obligațiilor subcontractantului în temeiul contractului său cu importatorul de date. Importatorul de date notifică exportatorului de date orice neîndeplinire de către subcontractant a obligațiilor care îi revin în temeiul contractului respectiv.

(e)

Importatorul de date convine cu subcontractantul asupra unei clauze privind terțul beneficiar, conform căreia – în cazul în care importatorul de date a dispărut în fapt, și-a încetat existența de drept sau a devenit insolvabil – exportatorul de date are dreptul de a rezilia contractul cu subcontractantul și de a-i da subcontractantului instrucțiuni să șteargă sau să returneze datele cu caracter personal.

(a)

Importatorul de date, dacă este cazul cu asistența exportatorului de date, răspunde tuturor cererilor de informații și cererilor de alt tip din partea unei persoane vizate care se referă la prelucrarea datelor sale cu caracter personal și la exercitarea drepturilor sale în temeiul prezentelor clauze, fără întârzieri nejustificate, în termen de maximum o lună de la primirea acestora (10). Importatorul de date ia măsurile corespunzătoare pentru a facilita formularea acestor cereri de informații și cereri de alt tip de către persoanele vizate, precum și exercitarea drepturilor persoanelor vizate. Orice informații furnizate persoanei vizate trebuie să fie prezentate într-o formă inteligibilă și ușor accesibilă, utilizând un limbaj clar și simplu.

(b)

În special, la cererea persoanei vizate și gratuit, importatorul de date:

(c)

În cazul în care importatorul de date prelucrează datele cu caracter personal în scopuri de marketing direct, acesta încetează prelucrarea în astfel de scopuri dacă persoana vizată se opune respectivei prelucrări.

(d)

Importatorul de date nu ia o decizie bazată exclusiv pe prelucrarea automată a datelor cu caracter personal transferate (denumită în continuare „decizie automatizată”), care ar produce efecte juridice care privesc persoana vizată sau care ar afecta-o în mod similar într-o măsură semnificativă, cu excepția cazului în care face acest lucru cu consimțământul explicit al persoanei vizate sau dacă este autorizat să facă acest lucru în temeiul legislației țării de destinație, cu condiția ca legislația respectivă să prevadă măsuri adecvate de protecție a drepturilor și intereselor legitime ale persoanei vizate. În acest caz, dacă este necesar în cooperare cu exportatorul de date, importatorul de date:

(e)

În cazul în care cererile din partea unei persoane vizate sunt excesive, în special din cauza caracterului lor repetitiv, importatorul de date poate fie să perceapă o taxă rezonabilă, ținând seama de costurile administrative aferente soluționării cererii, fie să refuze să dea curs cererii.

(f)

Importatorul de date poate refuza cererea unei persoane vizate dacă refuzul este permis în temeiul legislației țării de destinație și este necesar și proporțional într-o societate democratică pentru a proteja unul dintre obiectivele enumerate la articolul 23 alineatul (1) din Regulamentul (UE) 2016/679.

(g)

În cazul în care importatorul de date intenționează să refuze o cerere a unei persoane vizate, acesta trebuie să informeze persoana vizată cu privire la motivele refuzului și la posibilitatea de a depune o plângere la autoritatea de supraveghere competentă și/sau de a ataca în instanță acest refuz.

(a)

Importatorul de date notifică prompt exportatorului de date orice cerere primită din partea unei persoane vizate. Acesta nu răspunde cererii respective decât după ce a fost autorizat în acest sens de către exportatorul de date.

(b)

Importatorul de date îi acordă asistență exportatorului de date în îndeplinirea obligațiilor sale de a răspunde cererilor persoanelor vizate privind exercitarea drepturilor lor în temeiul Regulamentului (UE) 2016/679. În acest sens, părțile stabilesc în anexa II măsurile tehnice și organizatorice adecvate, ținând seama de natura prelucrării, prin care se acordă asistența, precum și domeniul de aplicare și amploarea asistenței necesare.

(c)

În îndeplinirea obligațiilor care îi revin în temeiul literelor (a) și (b), importatorul de date respectă instrucțiunile din partea exportatorului de date.

(a)

Importatorul de date notifică prompt exportatorului de date și, după caz, operatorului orice cerere primită din partea unei persoane vizate, fără să răspundă cererii respective, cu excepția cazului în care a fost autorizat în acest sens de către operator.

(b)

Importatorul de date, dacă este necesar în cooperare cu exportatorul de date, acordă asistență operatorului în îndeplinirea obligațiilor care îi revin de a răspunde cererilor persoanelor vizate care au ca obiect exercitarea drepturilor în temeiul Regulamentului (UE) 2016/679 sau al Regulamentului (UE) 2018/1725, după caz. În acest sens, părțile stabilesc în anexa II măsurile tehnice și organizatorice adecvate, ținând seama de natura prelucrării, prin care se acordă asistența, precum și domeniul de aplicare și amploarea asistenței necesare.

(c)

În îndeplinirea obligațiilor care îi revin în temeiul literelor (a) și (b), importatorul de date respectă instrucțiunile din partea operatorului, astfel cum sunt comunicate de către exportatorul de date.

(a)

Importatorul de date informează persoanele vizate într-un format transparent și ușor accesibil, printr-o notificare individuală sau pe site-ul său web, cu privire la punctul de contact autorizat să soluționeze plângerile. Acesta soluționează cu promptitudine orice plângeri primite din partea unei persoane vizate.

[OPȚIUNE: Importatorul de date este de acord cu faptul că persoanele vizate pot să depună, de asemenea, o plângere la un organism independent de soluționare a litigiilor (11), fără să suporte niciun cost. Acesta informează persoanele vizate, în modul prevăzut la litera (a), cu privire la acest mecanism de exercitare a unei căi de atac și le aduce la cunoștință faptul că nu sunt obligate să recurgă la acesta sau să exercite căile de atac într-o anumită ordine.]

(b)

În cazul unui litigiu între o persoană vizată și una dintre părți în ceea ce privește respectarea prezentelor clauze, partea în cauză depune toate eforturile pentru a soluționa litigiul pe cale amiabilă în timp util. Părțile se informează reciproc cu privire la astfel de litigii și, după caz, cooperează pentru soluționarea acestora.

(c)

În cazul în care persoana vizată invocă un drept al terțului beneficiar în temeiul clauzei 3, importatorul de date acceptă decizia persoanei vizate:

(d)

Părțile acceptă faptul că persoana vizată poate fi reprezentată de un organism, de o organizație sau de o asociație fără scop lucrativ, în condițiile prevăzute la articolul 80 alineatul (1) din Regulamentul (UE) 2016/679.

(e)

Importatorul de date respectă o decizie obligatorie în temeiul dreptului aplicabil al UE sau al dreptului intern aplicabil.

(f)

Importatorul de date este de acord cu faptul că alegerea făcută de persoana vizată nu va aduce atingere drepturilor sale materiale și procedurale de a introduce acțiuni în despăgubire în conformitate cu legislația aplicabilă.

(a)

Fiecare parte este răspunzătoare față de cealaltă (celelalte) parte (părți) pentru orice prejudicii pe care le cauzează celeilalte (celorlalte) părți prin orice încălcare a prezentelor clauze.

(b)

Fiecare parte este răspunzătoare față de persoana vizată, iar persoana vizată are dreptul de a primi despăgubiri pentru orice prejudicii materiale sau morale pe care partea le cauzează persoanei vizate prin încălcarea drepturilor terțului beneficiar în temeiul prezentelor clauze. Această dispoziție nu aduce atingere răspunderii care îi revine exportatorului de date în temeiul Regulamentului (UE) 2016/679.

(c)

În cazul în care mai multe părți sunt responsabile pentru un prejudiciu cauzat persoanei vizate ca urmare a încălcării prezentelor clauze, toate părțile responsabile sunt răspunzătoare în solidar, iar persoana vizată are dreptul de a introduce o acțiune în justiție împotriva oricăreia dintre aceste părți.

(d)

Părțile convin că, în cazul în care răspunderea uneia dintre părți este stabilită în temeiul literei (c), aceasta are dreptul de a solicita de la cealaltă (celelalte) parte (părți) recuperarea acelei părți din despăgubiri care corespunde părții (părților) sale (lor) de răspundere pentru prejudiciul cauzat.

(e)

Importatorul de date nu poate să invoce comportamentul unei persoane împuternicite de operator sau al unui subcontractant pentru a nu fi tras la răspundere.

(a)

Fiecare parte este răspunzătoare față de cealaltă (celelalte) parte (părți) pentru orice prejudicii pe care le cauzează celeilalte (celorlalte) părți prin orice încălcare a prezentelor clauze.

(b)

Importatorul de date este răspunzător față de persoana vizată, iar persoana vizată are dreptul de a primi despăgubiri pentru orice prejudicii materiale sau morale pe care importatorul de date sau subcontractantul acestuia le cauzează persoanei vizate prin încălcarea drepturilor terțului beneficiar în temeiul prezentelor clauze.

(c)

Fără a aduce atingere dispozițiilor prevăzute la litera (b), exportatorul de date este răspunzător față de persoana vizată, iar persoana vizată are dreptul de a primi despăgubiri pentru orice prejudicii materiale sau morale pe care exportatorul de date sau importatorul de date (sau subcontractantul acestuia) le cauzează persoanei vizate prin încălcarea drepturilor terțului beneficiar în temeiul prezentelor clauze. Această dispoziție nu aduce atingere răspunderii exportatorului de date și, în cazul în care exportatorul de date este o persoană împuternicită de operator care acționează în numele unui operator, răspunderii operatorului în temeiul Regulamentului (UE) 2016/679 sau al Regulamentului (UE) 2018/1725, după caz.

(d)

Părțile convin că, în cazul în care răspunderea exportatorului de date este stabilită în temeiul literei (c) pentru prejudiciile cauzate de importatorul de date (sau de subcontractantul acestuia), acesta are dreptul de a solicita de la importatorul de date recuperarea acelei părți din despăgubiri care corespunde părții de răspundere a importatorului de date pentru prejudiciul cauzat.

(e)

În cazul în care mai multe părți sunt responsabile pentru un prejudiciu cauzat persoanei vizate ca urmare a încălcării prezentelor clauze, toate părțile responsabile sunt răspunzătoare în solidar, iar persoana vizată are dreptul de a introduce o acțiune în justiție împotriva oricăreia dintre aceste părți.

(f)

Părțile convin că, în cazul în care răspunderea uneia dintre părți este stabilită în temeiul literei (e), aceasta are dreptul de a solicita de la cealaltă (celelalte) parte (părți) recuperarea acelei părți din despăgubiri care corespunde părții (părților) sale (lor) de răspundere pentru prejudiciul cauzat.

(g)

Importatorul de date nu poate să invoce comportamentul unei persoane împuternicite de operator sau al unui subcontractant pentru a nu fi tras la răspundere.

(a)

[În cazul în care exportatorul de date este stabilit într-un stat membru al UE:] Autoritatea de supraveghere responsabilă cu asigurarea respectării de către exportatorul de date a Regulamentului (UE) 2016/679 în ceea ce privește transferul de date, astfel cum se prevede în anexa I.C, acționează în calitate de autoritate de supraveghere competentă.

[În cazul în care exportatorul de date nu este stabilit într-un stat membru al UE, dar intră sub incidența domeniului de aplicare teritorială a Regulamentului (UE) 2016/679 în conformitate cu articolul 3 alineatul (2) din regulamentul menționat și a desemnat un reprezentant în temeiul articolului 27 alineatul (1) din Regulamentul (UE) 2016/679:] Autoritatea de supraveghere a statului membru în care este stabilit reprezentantul în sensul articolului 27 alineatul (1) din Regulamentul (UE) 2016/679, astfel cum se prevede în anexa I.C, acționează în calitate de autoritate de supraveghere competentă.

[În cazul în care exportatorul de date nu este stabilit într-un stat membru al UE, dar intră sub incidența domeniului de aplicare teritorială a Regulamentului (UE) 2016/679 în conformitate cu articolul 3 alineatul (2) din regulamentul menționat, fără a avea însă obligația de a desemna un reprezentant în temeiul articolului 27 alineatul (2) din Regulamentul (UE) 2016/679:] Autoritatea de supraveghere a unuia dintre statele membre în care se află persoanele vizate ale căror date cu caracter personal sunt transferate în temeiul prezentelor clauze în legătură cu oferirea de bunuri sau servicii sau al căror comportament este monitorizat, astfel cum se prevede în anexa I.C, acționează în calitate de autoritate de supraveghere competentă.

(b)

Importatorul de date este de acord să se supună jurisdicției autorității de supraveghere competente și să coopereze cu aceasta în cadrul oricăror proceduri menite să asigure respectarea prezentelor clauze. În special, importatorul de date este de acord să răspundă cererilor de informații, să facă obiectul unor audituri și să se conformeze măsurilor adoptate de autoritatea de supraveghere, inclusiv măsurilor reparatorii și compensatorii. Acesta furnizează autorității de supraveghere o confirmare scrisă a faptului că s-au întreprins acțiunile necesare.

(a)

Părțile garantează că nu au niciun motiv să creadă că legislația și practicile din țara terță de destinație aplicabile prelucrării datelor cu caracter personal de către importatorul de date, inclusiv orice cerințe de divulgare a datelor cu caracter personal sau orice măsuri de autorizare a accesului autorităților publice, îl împiedică pe importatorul de date să își îndeplinească obligațiile care îi revin în temeiul prezentelor clauze. Această dispoziție are la bază premisa că legislația și practicile care respectă esența drepturilor și a libertăților fundamentale și nu depășesc ceea ce este necesar și proporțional într-o societate democratică pentru a garanta unul dintre obiectivele enumerate la articolul 23 alineatul (1) din Regulamentul (UE) 2016/679 nu sunt în contradicție cu prezentele clauze.

(b)

Părțile declară că, la acordarea garanției prevăzute la litera (a), au ținut seama în mod corespunzător, în special, de următoarele elemente:

(c)

Importatorul de date garantează că, în cadrul evaluării prevăzute la litera (b), a depus toate eforturile pentru a-i furniza exportatorului de date informațiile relevante și este de acord să coopereze în continuare cu exportatorul de date pentru a asigura respectarea prezentelor clauze.

(d)

Părțile convin să consemneze în evidențe evaluarea prevăzută la litera (b) și să o pună la dispoziția autorității de supraveghere competente, la cerere.

(e)

Importatorul de date este de acord să transmită cu promptitudine o notificare exportatorului de date dacă, după ce a acceptat prezentele clauze și pe durata contractului, are motive să creadă că este sau a intrat sub incidența unei legislații sau a unor practici care nu sunt conforme cu dispozițiile prevăzute la litera (a), inclusiv în urma unei modificări a legislației țării terțe sau a unei măsuri (cum ar fi o cerere de divulgare) care indică o aplicare în practică a acestei legislații care nu este conformă cu dispozițiile prevăzute la litera (a). [Pentru modulul trei: Exportatorul de date transmite notificarea operatorului.]

(f)

În urma unei notificări în temeiul literei (e) sau în cazul în care exportatorul de date are alte motive să creadă că importatorul de date nu își mai poate îndeplini obligațiile care îi revin în temeiul prezentelor clauze, exportatorul de date identifică cu promptitudine măsurile adecvate (de exemplu, măsuri tehnice sau organizatorice pentru asigurarea securității și a confidențialității) pe care exportatorul de date și/sau importatorul de date trebuie să le adopte pentru a remedia situația [pentru modulul trei:, dacă este cazul, în consultare cu operatorul]. Exportatorul de date suspendă transferul de date în cazul în care consideră că nu pot fi asigurate garanții adecvate pentru un astfel de transfer sau în cazul în care primește instrucțiuni în acest sens din partea [pentru modulul trei: operatorului sau a] autorității de supraveghere competente. În acest caz, exportatorul de date are dreptul de a rezilia contractul în măsura în care acesta are ca obiect prelucrarea datelor cu caracter personal în temeiul prezentelor clauze. În cazul în care contractul implică mai mult de două părți, exportatorul de date își poate exercita dreptul de reziliere numai în ceea ce privește partea în cauză, cu excepția cazului în care părțile au convenit altfel. În cazul în care contractul este reziliat în temeiul prezentei clauze, se aplică clauza 16 literele (d) și (e).

(a)

Importatorul de date este de acord să transmită cu promptitudine o notificare exportatorului de date de date și, în măsura posibilului, persoanei vizate (dacă este necesar cu ajutorul exportatorului de date) în cazul în care:

[Pentru modulul trei: Exportatorul de date transmite notificarea operatorului.]

(b)

În cazul în care importatorului de date i se interzice să transmită o notificare exportatorului de date și/sau a persoanei vizate în temeiul legislației țării de destinație, importatorul de date este de acord să depună toate eforturile pentru a obține o derogare de la această interdicție, în vederea comunicării a cât mai multor informații posibil, în cel mai scurt timp posibil. Importatorul de date este de acord să consemneze în evidențe toate eforturile depuse pentru a putea face dovada acestora la cererea exportatorului de date.

(c)

În cazul în care legislația țării de destinație permite acest lucru, importatorul de date este de acord să furnizeze exportatorului de date, la intervale regulate pe durata contractului, cât mai multe informații relevante posibil cu privire la cererile primite (în special, numărul de cereri, tipul de date solicitate, autoritatea solicitantă sau autoritățile solicitante, eventuala contestare a cererilor și rezultatul contestațiilor respective etc.). [Pentru modulul trei: Exportatorul de date transmite informațiile operatorului.]

(d)

Importatorul de date este de acord să păstreze informațiile prevăzute la literele (a)-(c) pe durata contractului și să le pună la dispoziția autorității de supraveghere competente, la cerere.

(e)

Literele (a)-(c) nu aduc atingere obligației care îi revine importatorului de date în temeiul clauzei 14 litera (e) și al clauzei 16 de a-l informa cu promptitudine pe exportatorul de date dacă nu este în măsură să respecte prezentele clauze.

(a)

Importatorul de date este de acord să examineze legalitatea cererii de divulgare, în special dacă aceasta se încadrează în competențele conferite autorității publice solicitante, și să conteste cererea dacă, după o evaluare atentă, ajunge la concluzia că există motive întemeiate să considere că cererea este ilegală în temeiul legislației țării de destinație, al obligațiilor aplicabile în temeiul dreptului internațional și al principiilor curtoaziei internaționale. Importatorul de date exercită, în aceleași condiții, căile de atac disponibile Atunci când contestă o cerere, importatorul de date solicită măsuri provizorii în vederea suspendării efectelor cererii până când autoritatea judiciară competentă se pronunță asupra fondului cererii. Acesta nu divulgă datele cu caracter personal solicitate decât după ce i se impune să facă acest lucru în temeiul normelor procedurale aplicabile. Aceste cerințe nu aduc atingere obligațiilor care îi revin importatorului de date în temeiul clauzei 14 litera (e).

(b)

Importatorul de date este de acord să consemneze în evidențe evaluarea sa juridică, precum și orice acțiune de contestare a cererii de divulgare și, în măsura în care legislația țării de destinație permite acest lucru, să le pună la dispoziția exportatorului de date. De asemenea, acesta le pune la dispoziția autorității de supraveghere competente, la cerere. [Pentru modulul trei: Exportatorul de date pune evaluarea la dispoziția operatorului.]

(c)

Importatorul de date este de acord ca, atunci când răspunde unei cereri de divulgare, să furnizeze volumul minim de informații permis, pe baza unei interpretări rezonabile a cererii.

(a)

Importatorul de date îl informează cu promptitudine pe exportatorul de date dacă nu este în măsură să respecte prezentele clauze, indiferent de motiv.

(b)

În cazul în care importatorul de date încalcă prezentele clauze sau nu este în măsură să respecte prezentele clauze, exportatorul de date suspendă transferul de date cu caracter personal către importatorul de date până la restabilirea conformității sau până la încetarea contractului. Această dispoziție nu aduce atingere clauzei 14 litera (f).

(c)

Exportatorul de date are dreptul de a rezilia contractul, în măsura în care acesta are ca obiect prelucrarea datelor cu caracter personal în temeiul prezentelor clauze, în cazul în care:

În aceste cazuri, acesta informează autoritatea de supraveghere competentă [pentru modulul trei: și operatorul] cu privire la nerespectarea deciziei. În cazul în care contractul implică mai mult de două părți, exportatorul de date își poate exercita dreptul de reziliere numai în ceea ce privește partea în cauză, cu excepția cazului în care părțile au convenit altfel.

(d)

[Pentru modulele unu, doi și trei: Datele cu caracter personal care au fost transferate înainte de rezilierea contractului în temeiul literei (c) sunt returnate imediat exportatorului de date sau sunt șterse în întregime, la alegerea exportatorului de date. Aceeași dispoziție se aplică în cazul oricăror copii ale datelor.] [Pentru modulul patru: Datele cu caracter personal colectate de exportatorul de date din UE care au fost transferate înainte de rezilierea contractului în temeiul literei (c) sunt șterse imediat în întregime, inclusiv orice copie a acestora.] Importatorul de date îi prezintă exportatorului de date dovada ștergerii datelor. Până la ștergerea sau returnarea datelor, importatorul de date trebuie să continue să asigure respectarea acestor clauze. În cazul în care legislația locală aplicabilă importatorului de date interzice returnarea sau ștergerea datelor cu caracter personal transferate, importatorul de date garantează că va continua să asigure conformitatea cu prezentele clauze și că va prelucra datele numai în măsura în care și atât timp cât prelucrarea este permisă de respectiva legislație locală.

(e)

Oricare dintre părți își poate revoca acordul de a-și asuma obligații în temeiul prezentelor clauze în cazul în care (i) Comisia Europeană adoptă o decizie în temeiul articolului 45 alineatul (3) din Regulamentul (UE) 2016/679 care se referă la transferul de date cu caracter personal cărora li se aplică prezentele clauze; sau (ii) Regulamentul (UE) 2016/679 este integrat în cadrul juridic al țării către care sunt transferate datele cu caracter personal. Această dispoziție nu aduce atingere altor obligații care se aplică prelucrării în cauză în temeiul Regulamentului (UE) 2016/679.

(a)

Orice litigiu care decurge din prezentele clauze este soluționat de instanțele unui stat membru al UE.

(b)

Părțile convin că acestea sunt instanțele din _____ (a se preciza statul membru).

(c)

O persoană vizată poate să introducă o acțiune în justiție împotriva exportatorului de date și/sau a importatorului de date în statul membru în care își are reședința obișnuită.

(d)

Părțile convin să se supună jurisdicției acestor instanțe.

Orice litigiu care decurge din prezentele clauze este soluționat de instanțele din ___ (a se preciza țara).

1.

Adresă: …

Numele, funcția și datele de contact ale persoanei de contact: …

Activități relevante pentru datele transferate în temeiul prezentelor clauze: …

Semnătura și data: …

Rol (operator/persoană împuternicită de operator): …

2.

1.

Adresă: …

Numele, funcția și datele de contact ale persoanei de contact: …

Activități relevante pentru datele transferate în temeiul prezentelor clauze: …

Semnătura și data: …

Rol (operator/persoană împuternicită de operator): …

2.

1.

Adresă: …

Numele, funcția și datele de contact ale persoanei de contact: …

Descrierea prelucrării (inclusiv o delimitare clară a responsabilităților în cazul în care sunt autorizați mai mulți subcontractanți): …

2.