Clauze privind protecția datelor cu caracter personal

I. Obiect

Prezentele clauze au ca obiect stabilirea condițiilor în care Prestatorul ("Împuternicitul") se angajează să efectueze, în numele Clientului ("Operatorul"), operațiunile de prelucrare a Datelor cu caracter personal definite mai jos; prin Prelucrare a Datelor cu caracter personal înțelegându-se orice operațiune sau ansamblu de operațiuni efectuate sau nu prin procedee automatizate și aplicate unor date sau unor seturi de Date cu caracter personal.

În cadrul relațiilor lor contractuale, părțile se angajează să respecte reglementările în vigoare aplicabile prelucrării datelor cu caracter personal și, în special, Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016, aplicabil începând cu 25 mai 2018 (denumit în continuare "Regulamentul european privind protecția datelor").

II. Descrierea prelucrării care face obiectul subcontractării

Împuternicitul este autorizat să prelucreze, în numele Operatorului, Datele cu caracter personal necesare pentru furnizarea serviciului sau serviciilor comandate, care pot consta în implementarea/formarea/prestarea/găzduirea/punerea la dispoziție a Software-ului în modul SaaS, mentenanță/asistență privind soluțiile sale.

Totalitatea serviciilor comandate este descrisă în Contractul/Comanda emisă de Client.

Natura operațiunilor efectuate asupra datelor este consultarea, ștergerea, distrugerea, analiza pentru corectare.

Scopul (scopurile) prelucrării este realizarea prestațiilor comandate.

Categoriile de persoane ale căror date cu caracter personal sunt prelucrate, precum și natura datelor cu caracter personal, sunt înregistrate pe produs.

III. Obligațiile Împuternicitului față de Operator

Împuternicitul se angajează să:

prelucreze datele cu caracter personal exclusiv în scopul sau scopurile care fac obiectul subcontractării și în condițiile convenite în Contract, pentru a furniza serviciile și a-și îndeplini obligațiile ce îi revin în temeiul contractului;
prelucreze Datele în conformitate cu instrucțiunile documentate ale Operatorului. Dacă Împuternicitul consideră că o instrucțiune constituie o încălcare a Regulamentului european privind protecția datelor sau a oricărei alte dispoziții din dreptul Uniunii sau din dreptul statelor membre referitoare la protecția datelor, acesta informează imediat Operatorul. În plus, dacă Împuternicitul este obligat să efectueze un transfer de date către o țară terță sau către o organizație internațională, în temeiul dreptului Uniunii sau al dreptului statului membru căruia i se supune, acesta trebuie să informeze operatorul cu privire la această obligație legală înainte de prelucrare, cu excepția cazului în care dreptul respectiv interzice o astfel de informare din motive importante de interes public;
garanteze securitatea și confidențialitatea Datelor cu caracter personal prelucrate în cadrul prezentului contract, în condițiile descrise;
ia în considerare, în ceea ce privește instrumentele, produsele, aplicațiile sau serviciile sale, principiile protecției datelor începând cu momentul conceperii și protecției implicite a datelor;

Împuternicitul poate face apel la un alt subcontractant (denumit în continuare "subcontractantul ulterior") pentru a desfășura activități de prelucrare specifice (precum găzduirea). În acest caz, acesta informează în prealabil și în scris Operatorul cu privire la orice modificare avută în vedere privind adăugarea sau înlocuirea altor subcontractanți. Această informare trebuie să indice activitățile de prelucrare subcontractate, identitatea și datele de contact ale subcontractantului, precum și datele contractului de subcontractare. Operatorul dispune de un termen de 10 zile de la data primirii acestei informări pentru a-și prezenta obiecțiile. În lipsa unei manifestări a Operatorului în acest termen, se va considera că acesta a acceptat această modificare; orice refuz al adăugării sau înlocuirii unui subcontractant ulterior de către Operator trebuie justificat cu bună-credință de către acesta. În cazul refuzului unei adăugări sau înlocuiri a unui subcontractant ulterior de către Client, Contractul poate fi reziliat de către Client, această reziliere neputând fi asimilată, în niciun caz, unei rezilieri pentru neîndeplinirea obligațiilor de către Prestator.

Subcontractantul ulterior este obligat să respecte obligațiile prevăzute în prezentul contract, în numele și conform instrucțiunilor Operatorului. Este responsabilitatea subcontractantului inițial să se asigure că subcontractantul ulterior prezintă aceleași garanții suficiente în ceea ce privește punerea în aplicare a unor măsuri tehnice și organizatorice adecvate, astfel încât prelucrarea să răspundă cerințelor Regulamentului european privind protecția datelor. Dacă subcontractantul ulterior nu își îndeplinește obligațiile în materie de protecție a datelor, subcontractantul inițial rămâne pe deplin responsabil față de operator pentru executarea de către celălalt subcontractant a obligațiilor sale.

Dreptul la informare al persoanelor vizate
Este responsabilitatea Operatorului să furnizeze informațiile persoanelor vizate de operațiunile de prelucrare în momentul colectării datelor.

Exercitarea drepturilor persoanelor
În măsura posibilului, Împuternicitul trebuie să sprijine operatorul în îndeplinirea obligației sale de a răspunde cererilor de exercitare a drepturilor persoanelor vizate: dreptul de acces, de rectificare, de ștergere și de opoziție, dreptul la restricționarea prelucrării, dreptul la portabilitatea datelor, dreptul de a nu face obiectul unei decizii individuale automatizate (inclusiv crearea de profiluri).

Atunci când persoanele vizate adresează Împuternicitului cereri de exercitare a drepturilor lor, Împuternicitul trebuie să transmită aceste cereri, de îndată ce le primește, prin e-mail la adresa pe care o va comunica Operatorul.

Notificarea violărilor de securitate a datelor cu caracter personal
Împuternicitul notifică Operatorului orice breșă de securitate și/sau scurgere de Date care a determinat o încălcare a securității datelor cu caracter personal, cât mai curând posibil, după ce a luat cunoștință de aceasta, prin orice mijloc. Această notificare este însoțită de orice documentație utilă, pentru a permite Operatorului, dacă este necesar, să notifice această încălcare autorității de supraveghere competente, în cel mult 72 de ore de la data la care a luat cunoștință de aceasta.

Sprijinul Împuternicitului în cadrul respectării de către Operator a propriilor sale obligații
Prestatorul va putea, pe bază de deviz și în măsura posibilului:

Sprijini Clientul în realizarea evaluărilor de impact privind protecția Datelor, atunci când o astfel de evaluare se dovedește necesară;
Sprijini de asemenea Clientul în realizarea consultării prealabile a autorității de supraveghere privind protecția Datelor;
Pune la dispoziția Clientului documentația necesară pentru a demonstra respectarea obligațiilor sale și pentru a permite realizarea de audituri, inclusiv inspecții, de către Operator sau de către un alt auditor mandatat de acesta, și contribui la aceste audituri.

Măsuri de securitate
Împuternicitul pune în aplicare măsurile tehnice și organizatorice necesare pentru a asigura securitatea Datelor cu caracter personal:

mijloacele care permit garantarea confidențialității, integrității, disponibilității și rezilienței constante a sistemelor și serviciilor de prelucrare;
mijloacele care permit restabilirea disponibilității datelor cu caracter personal și a accesului la acestea în termene adecvate, în cazul unui incident fizic sau tehnic.

Împuternicitul se angajează în special să garanteze confidențialitatea Datelor furnizate de Operator în cadrul executării serviciilor:

permițând accesul la acestea sau comunicarea lor doar acelor persoane (inclusiv, dacă este cazul, angajaților săi, subcontractanților sau altor prestatori, inclusiv propriilor consilieri) care justifică o necesitate, în raport cu funcțiile lor, de a avea acces la acestea sau de a le primi în vederea executării Contractului;
prevăzând în mod expres, în contractele care leagă Prestatorul de acele persoane care îi sunt angajați sau, după caz, subcontractanți ori alți prestatori, inclusiv propriii consilieri, clauze de confidențialitate care preiau cerințele prevăzute în sarcina Prestatorului în temeiul Contractului.

Soarta datelor
La încheierea prestării serviciilor, Împuternicitul se angajează să distrugă toate Datele cu caracter personal la care ar fi avut acces în cadrul realizării prestațiilor.

Responsabilul cu protecția datelor
Împuternicitul comunică, la cerere, Operatorului numele și datele de contact ale responsabilului său cu protecția datelor, dacă a desemnat unul, sau ale persoanei de referință în materie.
Orice întrebare sau cerere referitoare la protecția Datelor cu caracter personal trebuie adresată prin e-mail la adresa: dataprivacy@isagri.com

Registrul categoriilor de activități de prelucrare
Împuternicitul ține în scris un registru al tuturor categoriilor de activități de prelucrare efectuate în numele Operatorului.

Documentație
Împuternicitul pune la dispoziția Operatorului documentația necesară pentru a demonstra respectarea tuturor obligațiilor sale și pentru a permite realizarea de audituri, inclusiv inspecții, de către Operator sau de către un alt auditor mandatat de acesta, și contribuie la aceste audituri.

Datele interne ale Operatorului
În afara oricărei prestații de servicii, Clientul este informat că propriile sale Date interne ar putea fi prelucrate de Prestator în calitate de Operator, în scopul gestionării relației dintre Client și Prestator.
Aceste Date sunt constituite din informații precum numele, prenumele, adresa poștală, adresa electronică, numerele de telefon ale colaboratorilor Clientului și sunt păstrate de Prestator pe întreaga durată a Contractului.
În cadrul scopurilor definite mai sus, Clientul acceptă ca Datele cu caracter personal menționate mai sus, referitoare la acesta, să fie transferate de Prestator către filialele sale, toate situate în Uniunea Europeană, pentru nevoile executării Contractului.

IV. Obligațiile Operatorului față de Împuternicit

Operatorul se angajează să:

furnizeze Împuternicitului instrucțiunile documentate în scris, referitoare la prelucrarea Datelor cu caracter personal; părțile convin că orice cerere a Clientului care depășește sau modifică instrucțiunile de prelucrare va face obiectul unui deviz suplimentar;
vegheze, atât înainte, cât și pe întreaga durată a prelucrării, la respectarea obligațiilor prevăzute de Regulamentul european privind protecția datelor de către Împuternicit;
supravegheze prelucrarea, inclusiv să realizeze audituri și inspecții la sediul Împuternicitului.

Se precizează că Software-urile puse la dispoziția Clientului de către Prestator pot conține câmpuri libere care nu sunt destinate să conțină date personale și, în special, date sensibile. Prin urmare, Clientul se angajează să pună în aplicare orice măsură organizatorică și/sau tehnică pentru a se asigura de utilizarea conformă a acestor câmpuri în raport cu RGPD. Prestatorul nu își va putea angaja în niciun caz răspunderea în cazul unei utilizări neconforme a acestor câmpuri.

Se precizează că Clientul, în calitatea sa de Operator, își păstrează întreaga răspundere pentru Datele personale care sunt stocate în bazele de date al căror proprietar deplin rămâne.