(a)

Namen teh standardnih pogodbenih določil (v nadaljnjem besedilu: določila) je zagotoviti skladnost s [izberite ustrezno možnost: MOŽNOST 1: členom 28(3) in (4) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov)] / [MOŽNOST 2: členom 29(3) in (4) Uredbe (EU) 2018/1725 Evropskega parlamenta in Sveta z dne 23. oktobra 2018 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah, organih, uradih in agencijah Unije in o prostem pretoku takih podatkov ter o razveljavitvi Uredbe (ES) št. 45/2001 in Sklepa št. 1247/2002/ES].

(b)

Upravljavci in obdelovalci na seznamu iz Priloge I soglašajo s temi določili, da se zagotovi skladnost s členom 28(3) in (4) Uredbe (EU) 2016/679 in/ali členom 29(3) in (4) Uredbe (EU) 2018/1725.

(c)

Ta določila se uporabljajo za obdelavo osebnih podatkov, kot je določeno v Prilogi II.

(d)

Priloge I do IV so sestavni del določil.

(e)

Ta določila ne posegajo v obveznosti, ki veljajo za upravljavca na podlagi Uredbe (EU) 2016/679 in/ali Uredbe (EU) 2018/1725.

(f)

Ta določila sama po sebi ne zagotavljajo skladnosti z obveznostmi v zvezi z mednarodnimi prenosi v skladu s poglavjem V Uredbe (EU) 2016/679 in/ali Uredbe (EU) 2018/1725.

(a)

Pogodbenice se zavezujejo, da ne bodo spreminjale določil, razen dodajanja informacij v priloge ali posodabljanja informacij v njih.

(b)

To pogodbenicam ne preprečuje, da standardna pogodbena določila iz teh določil vključijo v širšo pogodbo ali dodajo druga določila ali dodatne zaščitne ukrepe, če neposredno ali posredno ne nasprotujejo določilom ali posegajo v temeljne pravice ali svoboščine posameznikov, na katere se nanašajo osebni podatki.

(a)

Kadar se v teh določilih uporabljajo izrazi, opredeljeni v Uredbi (EU) 2016/679 oziroma Uredbi (EU) 2018/1725, imajo ti izrazi isti pomen kot v navedeni uredbi.

(b)

Ta določila se berejo in razlagajo v skladu z določbami Uredbe (EU) 2016/679 oziroma Uredbe (EU) 2018/1725.

(c)

Ta določila se ne razlagajo na način, ki bi bil v nasprotju s pravicami in obveznostmi iz Uredbe (EU) 2016/679 oziroma Uredbe (EU) 2018/1725, ali na način, ki posega v temeljne pravice ali svoboščine posameznikov, na katere se nanašajo osebni podatki.

(a)

Vsak subjekt, ki ni pogodbenica teh določil, se lahko s soglasjem vseh pogodbenic k tem določilom pridruži kadar koli kot upravljavec ali obdelovalec, in sicer tako, da izpolni priloge in podpiše Prilogo I.

(b)

Ko so priloge iz točke (a) izpolnjene in podpisane, se pridruženi subjekt obravnava kot pogodbenica teh določil ter ima pravice in obveznosti upravljavca ali obdelovalca v skladu z njegovim imenovanjem v Prilogi I.

(c)

Pridruženi subjekt nima nobenih pravic ali obveznosti na podlagi teh določil iz obdobja, preden je postal pogodbenica.

(a)

Obdelovalec obdeluje osebne podatke samo po dokumentiranih navodilih upravljavca, razen če to od njega zahteva pravo Unije ali pravo države članice, ki velja za obdelovalca. V slednjem primeru obdelovalec o tej pravni zahtevi pred obdelavo podatkov obvesti upravljavca, razen če zadevno pravo prepoveduje takšno obvestilo na podlagi pomembnih razlogov v javnem interesu. Upravljavec lahko med celotnim trajanjem obdelave osebnih podatkov da tudi nadaljnja navodila. Ta navodila se vedno dokumentirajo.

(b)

Obdelovalec nemudoma obvesti upravljavca, če po mnenju obdelovalca navodila upravljavca kršijo Uredbo (EU) 2016/679 oziroma Uredbo (EU) 2018/1725 ali veljavne določbe Unije ali države članice o varstvu podatkov.

(a)

Obdelovalec izvaja vsaj tehnične in organizacijske ukrepe iz Priloge III, da zagotovi varnost osebnih podatkov. To vključuje zaščito podatkov pred kršitvijo njihove varnosti, ki povzroči nenamerno ali nezakonito uničenje, izgubo, spremembo, nepooblaščeno razkritje ali dostop do podatkov (v nadaljnjem besedilu: kršitev varnosti osebnih podatkov). Pri določanju ustrezne ravni varnosti pogodbenice ustrezno upoštevajo najnovejši tehnološki razvoj, stroške izvajanja ter naravo, obseg, okoliščine in namene obdelave ter s tem povezana tveganja za posameznike, na katere se nanašajo osebni podatki.

(b)

Obdelovalec članom svojega osebja odobri dostop do osebnih podatkov, ki se obdelujejo, zgolj v obsegu, ki je nujno potreben za izvajanje, upravljanje in spremljanje pogodbe. Obdelovalec zagotovi, da so osebe, ki so pooblaščene za obdelavo prejetih osebnih podatkov, zavezane k zaupnosti ali jih k zaupnosti zavezuje ustrezen zakon.

(a)

Pogodbenice so sposobne dokazati skladnost s temi določili.

(b)

Obdelovalec nemudoma in ustrezno obravnava poizvedbe upravljavca v zvezi z obdelavo podatkov v skladu s temi določili.

(c)

Obdelovalec da upravljavcu na voljo vse informacije, potrebne za dokazovanje izpolnjevanja obveznosti, ki so določene v teh določilih in izhajajo neposredno iz Uredbe (EU) 2016/679 in/ali Uredbe (EU) 2018/1725. Obdelovalec na zahtevo upravljavca prav tako dovoli revizije dejavnosti obdelave, ki jih zajemajo ta določila, in k njim prispeva v razumnih časovnih presledkih ali v primeru znakov neskladnosti. Upravljavec lahko pri odločanju o pregledu ali reviziji upošteva ustrezne certifikate obdelovalca.

(d)

Upravljavec se lahko odloči, da bo revizijo izvedel sam ali pooblastil neodvisnega revizorja. Revizije lahko vključujejo tudi inšpekcijske preglede v prostorih ali fizičnih objektih obdelovalca in se po potrebi izvedejo v razumnem roku od obvestila o njih.

(e)

Pogodbenice pristojnemu nadzornemu organu oziroma organom na zahtevo omogočijo dostop do informacij iz tega določila, vključno z rezultati revizij.

(a)

MOŽNOST 1: PREDHODNO POSEBNO DOVOLJENJE: Obdelovalec nobenega od svojih postopkov obdelave, ki jih izvaja v imenu upravljavca v skladu s temi določili, ne odda v izvajanje podobdelovalcu brez predhodnega posebnega pisnega dovoljenja upravljavca. Obdelovalec predloži zahtevo za posebno dovoljenje vsaj [DOLOČITI ČASOVNO OBDOBJE] pred najemom zadevnega podobdelovalca ter priloži informacije, ki jih upravljavec potrebuje, da lahko odloči o dovoljenju. Podobdelovalci, ki jih je odobril upravljavec, so navedeni na seznamu v Prilogi IV. Pogodbenice redno posodabljajo Prilogo IV.

MOŽNOST 2: SPLOŠNO PISNO DOVOLJENJE: Obdelovalec ima splošno dovoljenje upravljavca za najem podobdelovalcev z dogovorjenega seznama. Obdelovalec posebej pisno obvesti upravljavca o vseh nameravanih spremembah tega seznama z dodajanjem ali zamenjavo podobdelovalcev vsaj [DOLOČITI ČASOVNO OBDOBJE] vnaprej, s čimer upravljavcu zagotovi dovolj časa, da lahko ugovarja takšnim spremembam, preden je zadevni podobdelovalec najet. Obdelovalec zagotovi upravljavcu informacije, ki jih slednji potrebuje za uveljavljanje pravice do ugovora.

(b)

Kadar obdelovalec najame podobdelovalca za izvajanje posebnih dejavnosti obdelave (v imenu upravljavca), to stori s pogodbo, ki podobdelovalcu nalaga vsebinsko enake obveznosti glede varstva podatkov, kot jih ima obdelovalec podatkov v skladu s temi določili. Obdelovalec zagotovi, da podobdelovalec izpolnjuje obveznosti, ki veljajo za obdelovalca v skladu s temi določili ter Uredbo (EU) 2016/679 in/ali Uredbo (EU) 2018/1725.

(c)

Obdelovalec na zahtevo upravljavca slednjemu zagotovi kopijo take pogodbe s podobdelovalcem in vseh njenih naknadnih sprememb. Kolikor je to potrebno za varovanje poslovnih skrivnosti ali drugih zaupnih informacij, vključno z osebnimi podatki, lahko obdelovalec pred posredovanjem kopije zakrije občutljive in zaupne dele pogodbe.

(d)

Obdelovalec ostane v celoti odgovoren upravljavcu za izpolnjevanje obveznosti podobdelovalca v skladu z njegovo pogodbo z obdelovalcem. Obdelovalec obvesti upravljavca, če podobdelovalec ne izpolnjuje več svojih pogodbenih obveznosti.

(e)

Obdelovalec se s podobdelovalcem dogovori o klavzuli v korist tretjega, v skladu s katero ima upravljavec, če obdelovalec dejansko izgine, pravno preneha obstajati ali postane insolventen, pravico, da odpove pogodbo podobdelovalca in naroči podobdelovalcu, naj izbriše ali vrne osebne podatke.

(a)

Obdelovalec lahko podatke tretji državi ali mednarodni organizaciji prenese le na podlagi dokumentiranih navodil upravljavca ali zaradi izpolnjevanja posebne zahteve v skladu s pravom Unije ali pravom države članice, ki velja za obdelovalca, in sicer v skladu s poglavjem V Uredbe (EU) 2016/679 ali Uredbe (EU) 2018/1725.

(b)

Upravljavec soglaša, da kadar obdelovalec v skladu z določilom 7.7 za izvajanje posebnih dejavnosti obdelave (v imenu upravljavca) najame podobdelovalca in te dejavnosti obdelave vključujejo prenos osebnih podatkov v smislu poglavja V Uredbe (EU) 2016/679, lahko obdelovalec in podobdelovalec zagotovita skladnost s poglavjem V Uredbe (EU) 2016/679 z uporabo standardnih pogodbenih določil, ki jih je sprejela Komisija v skladu s členom 46(2) Uredbe (EU) 2016/679, če so izpolnjeni pogoji za uporabo navedenih standardnih pogodbenih določil.

(a)

Obdelovalec nemudoma obvesti upravljavca o vsaki zahtevi, ki jo je prejel od posameznika, na katerega se nanašajo osebni podatki. Na to zahtevo se ne odzove sam, razen če ga za to pooblasti upravljavec.

(b)

Obdelovalec pomaga upravljavcu pri izpolnjevanju njegovih obveznosti odzivanja na zahteve posameznikov, na katere se nanašajo osebni podatki, za uveljavljanje njihovih pravic, pri čemer upošteva naravo obdelave. Obdelovalec pri izpolnjevanju svojih obveznosti v skladu s točkama (a) in (b) ravna v skladu z navodili upravljavca.

(c)

Poleg obveznosti, da pomaga upravljavcu v skladu z določilom 8(b), obdelovalec pomaga upravljavcu pri zagotavljanju izpolnjevanja naslednjih obveznosti, pri čemer upošteva naravo obdelave podatkov in informacije, ki so mu na voljo:

(d)

Pogodbenice v Prilogi III določijo ustrezne tehnične in organizacijske ukrepe, s katerimi obdelovalec upravljavcu pomaga pri uporabi tega določila, ter področje in obseg potrebne pomoči.

(a)

obveščanju pristojnega nadzornega organa oziroma organov o kršitvi varnosti osebnih podatkov brez nepotrebnega odlašanja po seznanitvi upravljavca s kršitvijo, kadar je to ustrezno (razen če ni verjetno, da bi kršitev varnosti osebnih podatkov povzročila tveganje za pravice in svoboščine posameznikov);

(b)

pridobivanju naslednjih informacij, ki se v skladu s členom 33(3) Uredbe (EU) 2016/679 [MOŽNOST 1] / členom 34(3) Uredbe (EU) 2018/1725 [MOŽNOST 2] navedejo v uradnem obvestilu upravljavca in morajo vključevati vsaj:

(c)

izpolnjevanju obveznosti v skladu s členom 34 Uredbe (EU) 2016/679 [MOŽNOST 1] / členom 35 Uredbe (EU) 2018/1725 [MOŽNOST 2], da se posameznik, na katerega se nanašajo osebni podatki, brez nepotrebnega odlašanja obvesti o kršitvi varnosti osebnih podatkov, kadar je verjetno, da bo kršitev varnosti osebnih podatkov povzročila veliko tveganje za pravice in svoboščine posameznikov.

(a)

opis narave kršitve (po možnosti vključno s kategorijami in približnim številom zadevnih posameznikov, na katere se nanašajo osebni podatki, ter kategorijami in približnim številom zadevnih evidenc osebnih podatkov);

(b)

podrobnosti o kontaktni točki, kjer je mogoče dobiti več informacij o kršitvi varnosti osebnih podatkov;

(c)

verjetne posledice kršitve in ukrepe, ki so bili sprejeti ali katerih sprejetje je bilo predlagano za obravnavanje kršitve, vključno z ukrepi za ublažitev njenih morebitnih škodljivih učinkov.

(a)

Brez poseganja v katere koli določbe Uredbe (EU) 2016/679 in/ali Uredbe (EU) 2018/1725 lahko upravljavec v primeru, da obdelovalec krši svoje obveznosti iz teh določil, naroči obdelovalcu, naj začasno prekine obdelavo osebnih podatkov, dokler slednji ne zagotovi skladnosti s temi določili, sicer pogodbo odpove. Obdelovalec takoj obvesti upravljavca, če iz kakršnega koli razloga ne more zagotoviti skladnosti s temi določili.

(b)

Upravljavec ima pravico, da odpove pogodbo, kolikor zadeva obdelavo osebnih podatkov v skladu s temi določili, če:

(c)

Obdelovalec ima pravico, da odpove pogodbo, kolikor zadeva obdelavo osebnih podatkov v skladu s temi določili, če upravljavec po tem, ko ga je obdelovalec obvestil, da njegova navodila kršijo veljavne pravne zahteve v skladu z določilom 7.1(b), vztraja pri upoštevanju navodil.

(d)

Obdelovalec po odpovedi pogodbe v skladu z odločitvijo upravljavca izbriše vse osebne podatke, ki jih je obdelal v imenu upravljavca, in upravljavcu potrdi, da je to storil, ali vse osebne podatke vrne upravljavcu in izbriše obstoječe kopije, razen če pravo Unije ali pravo države članice zahteva hrambo osebnih podatkov. Obdelovalec zagotavlja skladnost s temi določili, dokler se podatki ne izbrišejo ali vrnejo.

1.

Ime: …

Naslov: …

Ime, položaj in kontaktni podatki kontaktne osebe: …

Podpis in datum pridružitve: …

2.

1.

Ime: …

Naslov: …

Ime, položaj in kontaktni podatki kontaktne osebe: …

Podpis in datum pridružitve: …

2.

ukrepi za psevdonimizacijo in šifriranje osebnih podatkov;

ukrepi za zagotovitev stalne zaupnosti, celovitosti, dostopnosti in odpornosti sistemov in storitev za obdelavo;

ukrepi za zagotovitev zmožnosti pravočasne povrnitve razpoložljivosti in dostopa do osebnih podatkov v primeru fizičnega ali tehničnega incidenta;

postopki rednega testiranja, ocenjevanja in vrednotenja učinkovitosti tehničnih in organizacijskih ukrepov za zagotovitev varnosti obdelave;

ukrepi za identifikacijo uporabnika in izdajo dovoljenja uporabniku;

ukrepi za varstvo podatkov med prenosom;

ukrepi za varstvo podatkov med hrambo;

ukrepi za zagotavljanje fizične varnosti lokacij, na katerih se obdelujejo osebni podatki;

ukrepi za zagotavljanje beleženja dogodkov;

ukrepi za zagotavljanje konfiguracije sistema, vključno s privzeto konfiguracijo;

ukrepi za notranje upravljanje in vodenje IT in varnosti IT;

ukrepi za certificiranje / izdajanje zagotovil za postopke in proizvode;

ukrepi za zagotavljanje najmanjšega obsega podatkov;

ukrepi za zagotavljanje kakovosti podatkov;

ukrepi za zagotavljanje omejene hrambe podatkov;

ukrepi za zagotavljanje odgovornosti;

ukrepi za omogočanje prenosljivosti podatkov in zagotavljanje izbrisa.

1.

Ime: …

Naslov: …

Ime, položaj in kontaktni podatki kontaktne osebe: …

Opis obdelave (vključno z jasno razmejitvijo odgovornosti, če je odobrenih več podobdelovalcev): …

2.

…