Dodatak o zaštiti podataka za partnere

Ovaj dodatak o zaštiti podataka partnera ("DPA") dio je Ugovora o partnerskom programu ("Sporazum") i utvrđuje dodatne uvjete u vezi s obradom osobnih podataka. Izrazi s velikim slovima imaju značenje definirano u sljedećem odjeljku ovog dokumenta ili drugdje u Ugovoru. Ako postoji sukob između uvjeta ovog DPA-e i bilo kojeg drugog uvjeta Ugovora, ovaj DPA će prevladati. Za potrebe ovog DPA-e, "Pružatelj usluga" znači Partner.

• (a) "Primjenjivi zakon o zaštiti podataka" znači sav primjenjiv zakon koji se odnosi na obradu osobnih podataka u skladu s Ugovorom, uključujući, ali ne ograničavajući se na, (i) za osobne podatke koji potječu od ovlaštenog subjekta koji se nalazi unutar EGP-a, Opća uredba o zaštiti podataka (EU) 2016/679 ("GDPR"), i (ii) zza osobne podatke koji potječu od ovlaštenog subjekta koji se nalazi u Ujedinjenom Kraljevstvu, UK GDPR i Zakon o zaštiti podataka iz 2018.
• (b) "Ovlašteni subjekt" znači svaki subjekt (uključujući Siemens i društva iz njegove grupe) koji djeluje kao Voditelj obrade i koji prema Ugovoru ima pravo izravno ili neizravno pristupiti pristupiti Uslugama ili ih koristiti.
• (c) "Voditelj obrade" znači fizička ili pravna osoba koja sama ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka.
• (d) "Država s odlukom o primjerenosti" znači svaka zemlja za koju je Europska komisija odlučila da ta zemlja osigurava odgovarajuću razinu zaštite podataka, a za osobne podatke koji potječu iz Ujedinjenog Kraljevstva, svaka zemlja za koju su doneseni propisi o primjerenosti Ujedinjenog Kraljevstva u skladu s odjeljcima 17A ili 74A Zakona o zaštiti podataka iz 2018.
• (e) "Povreda podataka" znači svako kršenje sigurnosti (i) koje dovodi do slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja ili pristupa osobnim podacima koji se prenose, pohranjuju ili na drugi način obrađuju, ili (ii) zahtijevalo obavijest o takvom događaju bilo oje zahtijeva obavješćivanje bilo koje treće strane u skladu s primjenjivim zakonom.
• (f) "EGP" znači Europski gospodarski prostor.
• (g) "Standardne ugovorne klauzule EU-a" znači Standardne ugovorne klauzule (EU) 2021/914.
• (h) "Područje podrijetla" znači EGP, Ujedinjeno Kraljevstvo, Švicarsku i svaku zemlju sa sličnim zahtjevima primjerenosti kao što je navedeno u člancima 45. i sljedećim. GDPR.
• (i) "Osobni podaci" znači sve informacije koje se odnose na identificiranu ili fizičku osobu koja se može identificirati; fizička osoba koja se može identificirati, izravno ili neizravno, posebno upućivanjem na identifikator kao što su ime, identifikacijski broj, podaci o lokaciji, internetski identifikator ili jedan ili više čimbenika specifičnih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili društveni identitet te fizičke osobe.
• (j) "Obrada" (i drugi oblici kao što su Obrada, Obrade, Obrađeno) znači bilo koja operacija ili skup operacija koji se obavljaju na osobnim podacima ili skupovima osobnih podataka, bilo automatiziranim sredstvima, kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, savjetovanje, korištenje, otkrivanje prijenosom, širenjem ili na drugi način stavljanje na raspolaganje, usklađivanje ili kombiniranje, ograničenje, brisanje ili uništavanje.
• (k) "Izvršitelj obrade" fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje obrađuje osobne podatke u ime voditelja obrade.
• (l) "Obvezujuća korporativna pravila za izvršitelje obrade" znači obvezujuća korporativna pravila za izvršitelje obrade koja odobrava nadležno nadzorno tijelo.
• (m) "Ograničeni osobni podaci" znači bilo koji osobni podaci koji potječu od ovlaštenog subjekta koji se nalazi unutar Područja podrijetla.
• (n) "Ograničeni prijenosi" znači bilo kakvu obradu (uključujući prijenose, međunarodni pristup i daljnje prijenose) ograničenih osobnih podataka od strane Pružatelja usluga ili bilo kojeg od njegovih podobrađivača izvan relevantnog područja podrijetla.
• (o) "Usluge" znači Usluge u skladu s Ugovorom koje pruža Pružatelj usluga koji djeluje u svojoj ulozi izvršitelja obrade u smislu ovog DPA-e.
• (p) "Standardne ugovorne klauzule" znači Standardne ugovorne klauzule EU-a i Standardne ugovorne klauzule Ujedinjenog Kraljevstva.
• (q) "Podizvršitelj obrade" znači svaki daljnji izvršitelj obrade koji je angažiran u pružanju Usluga.
• (r) "Zaštitne mjere za prijenos" znači odgovarajuće zaštitne mjere za ograničene prijenose kako se zahtijeva primjenjivim zakonom o zaštiti podataka, uključujući bez ograničenja sve odgovarajuće zaštitne mjere propisane člankom 46. GDPR-a.
• (s) "UK GDPR"" znači GDPR kako je prenesen u pravo prenesen u pravo Ujedinjenog Kraljevstva na temelju članka 3. Zakona o Europskoj uniji (povlačenje) iz 2018.
• (t) "Standardne ugovorne klauzule u Velikoj Britaniji" znači standardne klauzule o zaštiti podataka koje povremeno usvaja Ured povjerenika za informiranje (ICO) u skladu s člankom 46. stavkom 2. Ujedinjenog Kraljevstva o zaštiti podataka, uključujući, ali ne ograničavajući se na, međunarodni ugovor o prijenosu podataka (UK IDTA) i Standardne ugovorne klauzule EU-a kako su izmijenjene Međunarodnim dodatkom ICO-a za prijenos podataka Standardnim ugovornim klauzulama Europske komisije („UK Addendum”). (Dodatak u Velikoj Britaniji"). [1]

1 Vidi https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/international-data-transfer-agreement-and-guidance/.

Stranke će se pridržavati važećih propisa o zaštiti podataka kako se primjenjuju na njih i kako je ovdje propisano. Prilikom pružanja Usluga, pružatelj će se posebno pridržavati odredbi važećih propisa o zaštiti podataka koje se odnose na obradu osobnih podataka kao izvršitelj obrade.

Pružatelj obrađuje osobne podatke samo (a) u skladu s uvjetima ovog DPA-a i Ugovora ili (b) prema drugim dokumentiranim uputama društva Siemens. Pružatelj neće obrađivati osobne podatke u vlastite svrhe niti ih prenositi trećim stranama, osim ako je to dopušteno ovim DPA-om. Pružatelj će bez odgode obavijestiti Siemens ako, prema njegovu mišljenju, uputa društva Siemens krši Primjenjivi zakon o zaštiti podataka.

Pojedinosti o postupcima obrade koje provodi Pružatelj, osobito predmet obrade, priroda i svrha obrade, vrste osobnih podataka koji se obrađuju te kategorije ispitanika na koje se odnose, navedene su u Prilogu I ovog DPA.

Uzimajući u obzir stanje tehnike, troškove provedbe te prirodu, opseg, kontekst i svrhe obrade, kao i rizik različite vjerojatnosti i ozbiljnosti za prava i slobode fizičkih osoba, Pružatelj će provoditi odgovarajuće tehničke i organizacijske mjere kako bi se osigurala razina sigurnosti koja odgovara riziku, uključujući, ali ne ograničavajući se na, prema potrebi: (a) pseudonimizaciju i šifriranje osobnih podataka; (b) sposobnost osiguranja trajnih povjerljivosti, integriteta, dostupnosti i otpornosti sustava i usluga obrade; (c) mogućnost pravodobne obnove dostupnosti i pristupa osobnim podacima u slučaju fizičkog ili tehničkog incidenta; (d) postupak redovitog testiranja, procjene i ocjenjivanja učinkovitosti tehničkih i organizacijskih mjera za osiguravanje sigurnosti obrade. Ne dovodeći u pitanje općenitost prethodno navedenog, Pružatelj će u svakom trenutku provoditi barem tehničke i organizacijske mjere opisane u Prilogu IIu ovom DPA-u.

1 Vidi https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/international-data-transfer-agreement-and-guidance/.

Pružatelj ograničava pristup osobnim podacima svom osoblju na načelu „need-to-know”. Pružatelj će osigurati da je njegovo osoblje upoznato s primjenjivim zakonskim i ugovornim obvezama u vezi sa zaštitom podataka. Pružatelj će svoje osoblje ugovorno obvezati na poštivanje tih odredbi, osobito na čuvanje povjerljivosti osobnih podataka i njihovu obradu isključivo u skladu s uputama društva Siemens. Obveza povjerljivosti primjenjuje se i nakon prestanka ovog Ugovora te ugovornog odnosa između osoblja i Pružatelja. Pružatelj će dostaviti dokaz o takvoj obvezi na zahtjev.

• (a) Pružatelj ima opće odobrenje društva Siemens za angažiranje Podizvršitelja obrade. Trenutačni popis Podizvršitelja obrade angažiranih od strane Pružatelja naveden je u Prilogu III. ovog DPA.
• (b) Pružatelj će posebno pisano obavijestiti Siemens o svim namjeravanim promjenama tog popisa dodavanjem ili zamjenom Podizvršitelja obrade najmanje 30 dana unaprijed. Ako Siemens ne uloži prigovor u tom roku od 30 dana, to će se uzeti kao odobrenje novog podizvršitelja obrade. Ako Siemens uloži prigovor, pružatelj će - prije ovlaštenja podizvršitelja obrade za pristup osobnim podacima - poduzeti razumne napore kako bi riješio zabrinutosti i zadržke koje je izrazio Siemens i (i) suzdržati se od korištenja tog podizvršitelja obrade; ili (ii) predložiti Siemensu razumnu promjenu usluga ili Siemensove konfiguracije ili korištenja Usluga kako bi se izbjegla obrada osobnih podataka od strane novog podizvršitelja obrade. Ako pružatelj usluga nije u mogućnosti otkloniti razloge za prigovor tvrtke Siemens, Siemens ima pravo raskinuti pogođene Usluge bez naknade štete ili ugovorne kazne. U slučaju raskida od strane tvrtke Siemens, pružatelj će razmjerno vratiti unaprijed plaćene iznose za primjenjivu Uslugu.
• (c) Ako pružatelj angažira podizvršitelja obrade za obavljanje određenih aktivnosti obrade (u ime Siemensa i/ili ovlaštenih subjekata), on će to učiniti pisanim ugovorom koji u bitnome uvodi iste obveze zaštite podataka kao i one koje obvezuju pružatelja prema ovom DPA-u.
• (d) Pružatelj usluga na zahtjev tvrtke Siemens dostavlja kopiju takvog ugovora o Podizvršitelju obrade i svih naknadnih izmjena. U mjeri potrebnoj za zaštitu poslovnih tajni ili drugih povjerljivih podataka, uključujući osobne podatke, redigirati tekst ugovora prije dostave preslike.
• (e) Pružatelj usluga na odgovarajući način i redovito provjerava podizvršitelje obrade u pogledu usklađenosti s tim zahtjevima i dokumentira rezultate takvih provjera.
• (f) Pružatelj usluga ostaje u potpunosti odgovoran Siemensu za izvršavanje obveza podizvršitelja obrade u skladu s njegovim ugovorom s pružateljem usluga. Pružatelj usluga obavještava Siemens o svakom neispunjenju obveza podizvršitelja obrade u skladu s tim ugovorom..

U slučaju ograničenih prijenosa pružatelju usluga, Pružatelj će osigurati da je takav ograničeni prijenos pokriven odgovarajućim zaštitnim mjerama prijenosa kako je navedeno u ovom Odjeljak 9 i Prilog III na ovaj DPA.

• (a) Standardne ugovorne klauzule. Ako se zaštita prijenosa temelji na standardnim ugovornim klauzulama primjenjuje se sljedeće:
  • EEA-Pružatelji. Ako se Pružatelj nalazi unutar EGP-a, pružatelj će sa svojim podprocesorom sklopiti Standardne ugovorne klauzule (Modul 3). Odjeljci 9 (a) (vii) ("Upravno pravo"), 9 (a) (viii) ("Izbor foruma i nadležnosti"), 9 (a) (ix) (b) ("1. dio dodatka u Velikoj Britaniji"), i druga rečenica odjeljka 9 (a) (x) ("Ovlašteni subjekti u drugim zemljama") ovog DPA-e neće se primjenjivati ako se Pružatelj usluga nalazi u EGP-u.
  • Pružatelji usluga izvan EEA. Ako se Pružatelj nalazi izvan EGP-a, ograničeni prijenos reguliran je modulima 2 i 3 Standardnih ugovornih klauzula. Relevantne odredbe sadržane u Standardnim ugovornim klauzulama ugrađene su referencom i sastavni su dio ovog DPA-e. Informacije potrebne za potrebe Priloga Standardnim ugovornim klauzulama navedene su u Prilozi od I. do IIIna ovaj DPA.
  • Klauzula o pristajanju. Opcija iz klauzule 7 Standardnih ugovornih klauzula neće se primjenjivati.
  • Dalji transferi. Svaki daljnji prijenos mora biti u skladu s klauzulama 8 i 9 primjenjivog modula standardnih ugovornih klauzula. U slučaju da se Siemens nalazi izvan EGP-a i djeluje kao uvoznik podataka prema Standardnim ugovornim klauzulama s ovlaštenim subjektima, klauzula o korisniku treće strane propisana klauzulom 9 (e) Standardnih ugovornih klauzula bit će u korist takvog ovlaštenog subjekta.
  • Korištenje podprocesora.Primjenjuje se opcija 2 prema klauzuli 9 Standardnih ugovornih klauzula. Za potrebe klauzule 9 (a) Standardnih ugovornih klauzula, Pružatelj usluga ima Siemens opće ovlaštenje za angažiranje podprocesora u skladu s Odjeljak 8 ovog DPA.
  • Nadoknada. U slučaju da Pružatelj subjektima podataka nudi mogućnost podnošenja pritužbe neovisnom tijelu za rješavanje sporova (vidi opciju u klauzuli 11 Standardnih ugovornih klauzula), Pružatelj će pismeno obavijestiti Siemens nadležno arbitražno tijelo i poštivati primjenjive zahtjeve sadržane u klauzuli 11 Standardnih ugovornih klauzula i primjenjivim arbitražnim pravilima.
  • Upravljačko pravo. Upravno pravo za potrebe klauzule 17 Standardnih ugovornih klauzula bit će zakon koji je određen u odjeljku o upravljačkom pravu Ugovora. Ako Sporazum nije uređen pravom države članice EU-a, standardne ugovorne klauzule EU-a uređuju se zakonodavstvom Njemačke.
  • Izbor foruma i nadležnosti. Sudovi prema klauzuli 18 Standardnih ugovornih klauzula bit će oni koji su određeni u dijelu mjesta održavanja Ugovora. Ako se Sporazumom ne određuje sud države članice EU-a kao isključivu nadležnost za rješavanje bilo kojeg spora ili tužbe koji proizlaze iz ili u vezi s Sporazumom, stranke se slažu da su sudovi Njemačke isključivu nadležnost za rješavanje svih sporova koji proizlaze iz Standardnih ugovornih klauzula EU-a.
  • Ovlašteni subjekti u Ujedinjenom Kraljevstvu. U slučaju da ograničeni prijenosi potječu od ovlaštenih subjekata koji se nalaze u Ujedinjenom Kraljevstvu, primjenjuje se sljedeće:
    • Dodatak u Velikoj Britaniji. Koristit će se Dodatak Ujedinjenog Kraljevstva, osim ako Siemens nije drukčije pismeno dogovoren.
    • Dio 1 Dodatka u Velikoj Britaniji. Dio 1. dodatka Ujedinjenog Kraljevstva primjenjuje se na sljedeći način:
      1. Tablica 1: Podaci stranaka i ključne kontakt informacije sadržani su u Prilog I. na ovaj DPA.
      2. Tablica 2: Verzija odobrenih EU SCC-ova (kako je definirano u Dodatku Ujedinjenog Kraljevstva) kojima je priložen Dodatak u Velikoj Britaniji, su standardne ugovorne klauzule EU-a s modulima i klauzulama odabranim gore u Odjeljak 9 (a) ovog DPA. Nijedan osobni podatak primljen od Uvoznika ne kombinira se s osobnim podacima koje prikuplja Izvoznik.
      3. Tablica 3: Informacije o Dodatku prema zahtjevu Tablice 3 Dodatka u Velikoj Britaniji sadržane su u Prilozi od I. do III na ovaj DPA.
      4. Tablica 4Nijedna strana ne smije ukinuti Dodatak u Velikoj Britaniji kada se promijeni Odobreni dodatak (kako je definirano u Dodatku u Velikoj Britaniji).
  • Ovlašteni subjekti u drugim zemljama. U slučaju da standardne ugovorne klauzule štite ograničene prijenose od ovlaštenih subjekata koji se nalaze izvan EGP-a i Ujedinjene Kraljevine (npr. Švicarska), (1) opće i posebne reference u standardnim ugovornim klauzulama na GDPR ili pravo EU-a ili države članice imaju isto značenje kao ekvivalentna referenca u primjenjivim zakonima o zaštiti podataka zemlje u kojoj se nalazi ovlašteni subjekt; i (2) upućivanje na "nadležno nadzorno tijelo" tumači se kao upućivanje na nadležno nadzorno tijelo zaštita podataka autoritet u takvoj zemlji. Upravno pravo, izbor foruma i nadležnost uređuju se Odjeljci 9 (a) (vii) i (viii) ovog DPA-e, osim ako zakonima primjenjivim na dotični ovlašteni subjekt nije drugačije propisano, u tom slučaju Standardne ugovorne klauzule uređuju se zakonima zemlje u kojoj se nalazi ovlašteni subjekt, a svako upućivanje na nadležne "sudove" tumačit će se kao upućivanje na nadležne sudove u toj zemlji.
• Korporativna Rules koja obvezuju procesore. Sljedeće se primjenjuje ako se zaštita prijenosa temelji na korporativnim pravilima obvezujućih za obradu obrade: Pružatelj usluga ugovorno obvezuje takvog podizvršitelja obrade da se pridržava korporativnih Rules koja se obvezuju za obradu obrade u vezi s osobnim podacima koji se obrađuju u skladu s ovim DPA-om.
• Dodatne zaštitne mjere prijenosa. U slučaju da se zaštitne mjere prijenosa ne temelje na standardnim ugovornim klauzulama, odredbe 14 i 15 Standardnih ugovornih klauzula primjenjuju se mutatis-mutandis na ograničene prijenose u okviru takve druge zaštite prijenosa, osim ako odgovarajuća zaštita prijenosa sadržava ista prava i obveze koje se odnose na (i) lokalne zakone i prakse koje utječu na poštivanje zaštitnih mjera prijenosa i (ii) obveze u slučaju pristupa javnih tijela kao što je navedeno u klauzulama 14 i 15.
• Ostalo. Pružatelj usluga slaže se i razumije da lokalni primjenjivi zakon o zaštiti podataka može sadržavati slična ili dodatna ograničenja prijenosa kao što je navedeno u ovom Odjeljak 9. U tom slučaju Pružatelj pristaje uložiti razumne napore i surađivati sa Siemens u dobroj vjeri kako bi se riješili tih zahtjeva.

Pružatelj usluga će razumno pomoći Siemensu u osiguravanju usklađenosti s primjenjivim zakonom o zaštiti podataka, posebno pružanjem pomoći Siemensu kako slijedi:

• (a) Ispravljanje, brisanje ili ograničenje obrade. Pružatelj usluga će ili (i) pružiti mogućnost ispravljanja, brisanja ili ograničavanja obrade osobnih podataka putem funkcionalnosti Usluga ili (ii) ispraviti, izbrisati ili ograničiti obradu osobnih podataka prema uputama tvrtke Siemens.
• (b) Pristup osobnim podacima. U mjeri u kojoj informacije koje se odnose na ispitanika nisu dostupne putem Usluge, pružatelj će, prema potrebi kako bi Siemensu i ovlaštenim subjektima omogućio ispunjavanje svojih obveza prema važećim zakonima o zaštiti podataka, pružiti pomoć da takve informacije budu dostupne Siemensu i/ili ovlaštenim subjektima.
• (c) Zahtjevi ispitanika i tijela. Pružatelj usluga će odmah obavijestiti Siemens o: (i) svim primljenim zahtjevima ili pritužbama ili obavijestima o istrazi od strane provođenja zakona, vladinog ili regulatornog tijela ili agencije; i (ii) o svakom zahtjevu zaprimljenom izravno od bilo kojeg ispitanika o njihovim osobnim podacima. S obzirom na gore navedene točke (i) i (ii), Pružatelj usluga neće odgovoriti bez uputa tvrtke Siemens. Ako je to upućeno, Pružatelj će razumno podržati Siemens u odgovoru na takve zahtjeve.
• (d) Prenosivost podataka. Na zahtjev kompanije Siemens i ako to zahtijeva primjenjivi Zakon o zaštiti podataka, pružatelj će ili (i) pružiti mogućnost izvlačenja osobnih podataka upućivanjem na određenog ispitanika u skladu s funkcionalnostima Usluge ili (ii) učiniti relevantni skup podataka dostupnim Siemensu i/ili odgovarajućem ovlaštenom subjektu, u svakom slučaju u strukturiranom, uobičajenom i strojno čitljivom formatu.
• (e) Procjene utjecaja na zaštitu podataka. Ako Siemens zatraži, pružatelj usluga će pružiti sve informacije i razumnu podršku za provođenje procjena učinka na zaštitu podataka u skladu s primjenjivim zakonima o zaštiti podataka.

Nakon prestanka odnosa obrade podataka, osim ako Siemens nije drugačije uputio ili nije ovdje navedeno, Davatelj će Siemensu vratiti sve osobne podatke koji su stavljeni na raspolaganje pružatelju usluga ili koje je pružatelj pribavio ili generira u vezi s ugovorno dogovorenim uslugama i neopozivo će izbrisati ili uništiti sve preostale podatke. Brisanje ili uništenje pružatelj na zahtjev potvrđuje pismeno.

• (a) Pružatelj usluga obavještava Siemens odmah, ali u svakom slučaju u roku od 48 sati u slučaju da pružatelj otkrije ili opravdano posumnja na bilo kakvu povredu osobnih podataka.
• (b) U obavijesti Siemensu pružatelj usluga dostavlja Siemensu sljedeće informacije: (i) podatke o kontaktnoj točki gdje se (ili od koga) može dobiti više informacija, (ii) opis prirode povrede (uključujući, ako je moguće, imena, kategorije i približan broj predmetnih ispitanika i evidencije osobnih podataka), (iii) vjerojatne posljedice i mjere poduzete ili predložene za rješavanje kršenja, uključujući, prema potrebi, mjere za njegovo moguće ublažavanje štetni učinci. Ako i u mjeri u kojoj nije moguće pružiti sve informacije u isto vrijeme, početna obavijest sadržava informacije koje su tada dostupne, a daljnje informacije, kako postanu dostupne, naknadno se dostavljaju bez nepotrebnog odgađanja.
• (c) Sve obavijesti u ovom Odjeljku 12 dostavljaju se (i) na odgovarajuću kontaktnu točku navedenu u Sporazumu i (ii) dataprotection@siemens.com.
• (d) Pružatelj će, na trošak i trošak pružatelja, (i) u potpunosti surađivati sa Siemensom u istrazi kršenja podataka; (ii) pomagati i surađivati sa Siemensom u vezi sa svim zakonski potrebnim obavijestima ili objavama pogođenim osobama (individualnom komunikacijom, javnom komunikacijom putem medija ili sličnim mjerama), policiji, regulatorima i/ili drugim trećim stranama; i (iii) poduzeti sve druge radnje koje Siemens smatra potrebnim u vezi s takvim kršenjem podataka i bilo kojim sporom, istragom ili zahtjevom to se odnosi na kršenje podataka.
• (e) Osim ako primjenjivo pravo ili nalog nadležnog regulatora ne zahtijeva drugačije, Siemens će donijeti konačnu odluku, prema vlastitom nahođenju, (i) zahtijeva li povreda osobnih podataka obavješćivanje i (ii) na koji će se način takva obavijest izvršiti. Ako pružatelj šalje takve obavijesti u vezi s povredom osobnih podataka, svaka takva obavijest mora unaprijed biti odobrena od strane Siemensa.
• (f) Pružatelj usluga na svoju cijenu poduzima odgovarajuće mjere za rješavanje povrede podataka, uključujući mjere za ublažavanje njegovih štetnih učinaka (uključujući korake za zaštitu operativnog okruženja). Pružatelj usluga također poduzima brze korake kako bi se spriječilo ponavljanje bilo kakvog kršenja podataka, uključujući sve radnje koje zahtijeva primjenjivi zakon o zaštiti podataka.
• (g) Pružatelj usluga nadoknađuje Siemensu sve troškove i troškove nastale za takvo kršenje podataka uzrokovano pružateljem usluga, uključujući, ali ne ograničavajući se na troškove pružanja nadzora kredita pojedincima na čije je osobne podatke utjecalo kršenje podataka. Ograničenja odgovornosti u korist pružatelja prema Ugovoru neće se primjenjivati u tom pogledu.

• (a) Pružatelj usluga će (i) odgovarajućim sredstvima nadzirati vlastitu poštivanje svojih obveza zaštite podataka u skladu s ovim DPA-om i primjenjivim Zakonom o zaštiti podataka; (ii) izraditi povezana periodična (barem godišnja) izvješća koja se temelje na prilikama (svaka a"Izvještaj"); i (iii) učiniti Izvješća dostupnima Siemensu i ovlaštenim subjektima na zahtjev. Ako kontrolni standard i okvir koji provodi Pružatelj usluga predviđaju kontrole, takve će se kontrole provoditi u skladu sa standardima i pravilima regulatornog ili akreditacijskog tijela za svaki primjenjivi kontrolni standard ili okvir.
• (b) Ako je potrebno adekvatno odgovoriti na svoja prava i obveze revizije prema važećem Zakonu o zaštiti podataka, primjenjivim zaštitnim mjerama prijenosa ili ako to zatraži nadležno tijelo za zaštitu podataka ili drugo nadležno vladino tijelo ili agencija, pružatelj će Siemensu i ovlaštenim subjektima - osim izvješća - staviti na raspolaganje sve dodatne informacije koje su razumno zatražili i doprinijeti revizijama, uključujući inspekcije koje provode Siemens ili ovlašteni subjekti. U tu svrhu, Siemens, ovlašteni subjekti ili drugi revizor kojeg je ovlaštio Siemens ili ovlašteni subjekti također imaju pravo provoditi inspekcije na licu mjesta tijekom redovnog radnog vremena, bez ometanja poslovanja pružatelja usluga i nakon razumne prethodne obavijesti.

Ako Usluga koristi kolačiće ili slične tehnologije, primjenjuje se sljedeće: Pružatelj će, osim ako Siemens izričito ne dogovori drugačije u odnosu na ovaj Odjeljak 14, samo pohranjuju informacije (npr. pisanjem kolačića) ili dobivaju pristup informacijama koje su već pohranjene u terminalnoj opremi korisnika Usluge (npr. putem kolačića) isključivo u svrhu obavljanja prijenosa komunikacije putem elektroničke komunikacijske mreže, ili kako je to nužno potrebno kako bi Pružatelj pružio osnovne funkcionalnosti Usluga.

Pružatelj usluga razumije i slaže se da su zahtjevi u ovom DPA-u sastavni dio Ugovora i da će se značajno kršenje bilo kojeg od tih zahtjeva smatrati značajnim kršenjem Ugovora od strane pružatelja Ugovora, čime Siemensu daje pravo na materijalne pravne lijekove povezane s kršenjem sadržane u Ugovoru.

Ako i u mjeri u kojoj pružatelj pristupa osobnim podacima dobivenim od tvrtke Siemens grupe sa sjedištem u Sjedinjenim Američkim Državama ("Siemensova američka tvrtka") ili ispitanika koji je rezident Sjedinjenih Američkih Država, tada će, osim gore navedenog, pružatelj: (i) pridržavati se američkih saveznih, državnih i lokalnih zakona o osobnim podacima koji se primjenjuju na pružatelja, takve osobne podatke i vlasnike ili voditelje obrade takvih osobnih podataka; kada je gore navedeno primjenjivo, pojam "Primjenjivi zakon o zaštiti podataka" koji se ovdje koristi uključuje gore navedene zakone; (ii) osim ako je ovdje posebno navedeno u Sporazumu, neće prodavati, dijeliti, iznajmljivati, objavljivati, objavljivati, širiti ili stavljati na raspolaganje Osobne podatke trećim stranama; i neće kombinirati osobne podatke s drugim informacijama; (iii) obavijestiti Siemens ako pružatelj usluga utvrdi da pružatelj više ne može ispunjavati svoje obveze iz ovoga; (iv) osigurat će da svaka osoba koja obrađuje osobne podatke podliježe dužnosti povjerljivosti u pogledu osobnih podataka; (v) će se smatrati i djelovati kao "pružatelj usluga" prema važećim propisima o zaštiti podataka (uključujući Kalifornijski Zakon o privatnosti potrošača, njegove provedbene propise i sve njihove izmjene); i (vii) ovim potvrđuje da razumije ovdje sadržana ograničenja i da će ih se pridržavati.

Prilog I. DPA-u (i, prema potrebi, Standardnim ugovornim klauzulama)

A.POPIS STRANAKA

Primatelj usluga/izvoznik podataka:

Pružatelj / uvoznik podataka::

B.OPIS OPERACIJA PRIJENOSA/OBRADE

C.NADLEŽNO NADZORNO TIJELO

Ako Siemens ima poslovni nastan u državi članici EU-a, nadzorno tijelo koje je odgovorno za osiguravanje usklađenosti tvrtke Siemens s GDPR-om u pogledu prijenosa podataka djeluje kao nadležno nadzorno tijelo. Za Siemens Aktiengesellschaft, Njemačka, nadzorno tijelo je:

Bavarski državni ured za nadzor zaštite podataka (BayLDA).

Promenade 18

91522 Ansbach

Njemačka

Ako Siemens nema poslovni nastan u državi članici EU-a, ali spada u teritorijalno područje primjene GDPR-a u skladu s njezinim člankom 3. stavkom 2., nadzorno tijelo države članice u kojoj ima poslovni nastan zastupnik u smislu članka 27. stavka 1. GDPR-a djeluje kao nadležno nadzorno tijelo; naime:

Bavarski državni ured zanadzor zaštite podataka (BayLDA)

Promenade 18

91522 Ansbach

Njemačka

Prilog II. DPA (i, prema potrebi, standardne ugovorne klauzule)

tehničke i organizacijske mjere (uključujući tehničke i organizacijske mjere za osiguravanje sigurnosti podataka)

Sljedeće mjere primjenjuju se samo na Pružatelja usluga u mjeri u kojoj su temeljni IT sustavi, mreže i aplikacije odgovorni i/ili pod skrbništvom ili kontrolom Pružatelja usluga. Opis tehničkih i organizacijskih sigurnosnih mjera koje provodi Pružatelj usluga i njegovi podizvršitelji obrade:

Prilog III. DPA-u (i, prema potrebi, standardne ugovorne klauzule)

POPIS PODIZVRŠITELJA OBRADE I LOKACIJE PODATKOVNIH CENTARA

"Obrazac za autorizaciju partnera" navodi

subjekti (uključujući Partnere i podizvršitelje obrade) koji se bave pohranju/hostingom osobnih podataka,

Primjenjive lokacije podatkovnog centra,

Podizvršitelje obrade koji se bave obradom osobnih podataka u svrhe nepohranjivanja/hostinga,

koji su ovdje uključeni ovom referencom.

Pružatelj usluga neće prenositi osobne podatke s odgovarajuće lokacije podatkovnog centra bez pristanka tvrtke Siemens. Mehanizam obavijesti i prigovora sadržan u Odjeljku 8 neće se primjenjivati u tom pogledu.