Dodatak o zaštiti podataka partnera

Sledeći Dodatak o zaštiti podataka partnera deo je Ugovora o partnerskom programu i utvrđuje uslove u vezi sa obradom ličnih podataka.

1. OPŠTI

Ovaj dodatak o zaštiti podataka partnera (“DPA„) je deo Ugovora o partnerskom programu (“Sporazum„) i utvrđuje dodatne uslove u vezi sa obradom ličnih podataka. Izrazi sa velikim slovima imaju značenje definisano u sledećem odeljku ovog dokumenta ili negde drugde u Sporazumu. Ako postoji sukob između uslova ovog DPA i bilo kojih drugih uslova Sporazuma, ovaj DPA će prevladati. Za potrebe ovog DPA, „Provajder“ znači Partner.

2. DEFINICIJE

(a) „Važeći zakon o zaštiti podataka“ znači sav važeći zakon koji se odnosi na obradu ličnih podataka u skladu sa Sporazumom, uključujući, ali ne ograničavajući se na, (i) za lične podatke koji potiču od ovlašćenog entiteta koji se nalazi u okviru EEA, Opštu uredbu o zaštiti podataka (EU) 2016/679 (“GDPR„), i (ii) za lične podatke koji potiču od ovlašćenog entiteta koji se nalazi u Velikoj Britaniji, GDPR UK i Zakon o zaštiti podataka u Velikoj Britaniji 2018.
(b) „Ovlašćeni entitet“ podrazumeva bilo koji entitet (uključujući Siemens i kompanije iz njegove grupe) koji deluje kao Kontrolor i koji prema Sporazumu ima pravo da direktno ili indirektno pristupa ili koristi Usluge.
(c) „Controller“ znači fizičko ili pravno lice koje samostalno ili zajedno sa drugima određuje svrhe i sredstva obrade ličnih podataka.
(d) „Zemlja sa odlukom o adekvatnosti“ znači bilo koju zemlju za koju je Komisija EU odlučila da takva zemlja obezbedi adekvatan nivo zaštite podataka, a za lične podatke koji potiču iz Velike Britanije, bilo koju zemlju za koju su doneti propisi o adekvatnosti Ujedinjenog Kraljevstva prema članovima 17A ili 74A Zakona o zaštiti podataka iz 2018.
(e) „Kršenje podataka„znači svako kršenje bezbednosti (i) koje dovodi do slučajnog ili nezakonitog uništenja, gubitka, izmene, neovlašćenog otkrivanja ili pristupa ličnim podacima koji se prenose, čuvaju ili na drugi način obrađuju, ili (ii) zahtevalo obaveštavanje o takvom događaju bilo kojoj trećoj strani u skladu sa važećim zakonom.
(f) „EEA“ znači Evropski ekonomski prostor.
(g) „Standardne ugovorne klauzule EU“ znači Standardne ugovorne klauzule (EU) 2021/914.
(h) „Područje nastanka“ znači EEA, Veliku Britaniju, Švajcarsku i svaku zemlju sa sličnim zahtevima adekvatnosti kao što je sadržano u čl. 45 i sledeći. GDPR.
(i) „Lični podaci“ znači sve informacije koje se odnose na identifikovano ili identifikovano fizičko lice; fizičko lice koje se može identifikovati je ono koje se može identifikovati, direktno ili indirektno, posebno pozivanjem na identifikator kao što su ime, identifikacioni broj, podaci o lokaciji, mrežni identifikator ili jedan ili više faktora specifičnih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili društveni identitet te fizičke osobe.
(j) „Obrada“ (i drugi oblici kao što su Proces, Obrada, Obrada) označava bilo koju operaciju ili skup operacija koje se obavljaju na ličnim podacima ili skupovima ličnih podataka, bilo automatizovanim sredstvima, kao što su prikupljanje, evidentiranje, organizacija, strukturiranje, skladištenje, prilagođavanje ili izmena, pronalaženje, konsultacija, upotreba, otkrivanje prenosom, širenjem ili na drugi način stavljanje na raspolaganje, usklađivanje ili kombinacija, ograničenje, brisanje ili uništavanje.
(k) „Procesor“ znači fizičko ili pravno lice, javni organ, agenciju ili bilo koje drugo telo koje obrađuje lične podatke u ime Controller.
(l) „Korporativna Rules koja obavezuju procesora“ znači obavezujuća korporativna pravila za prerađivače koja odobrava nadležni nadzorni organ.
(m) „Ograničeni lični podaci“ znači bilo koji lični podaci koji potiču od ovlašćenog entiteta koji se nalazi u području nastanka.
(n) „Ograničeni prenos (i)“ znači bilo kakvu obradu (uključujući prenose, međunarodni pristup i dalji prenos) ograničenih ličnih podataka od strane dobavljača ili bilo kog od njegovih podprocesora izvan relevantnog područja izvornosti.
(o) „Usluge“ podrazumeva Usluge prema Ugovoru koje pruža Pružatelj usluga koji deluje u svojoj ulozi obrade u smislu ovog DPA.
(p) „Standardne ugovorne klauzule“ znači Standardne ugovorne klauzule EU i Standardne ugovorne klauzule Velike Britanije.
(k) „Podprocesor (i)“ podrazumeva bilo koji dodatni izvršitelj obrade koji je angažovan u obavljanju Usluga.
(r) „Zaštita (e) transfera“ podrazumeva odgovarajuće zaštitne mere za ograničene prenose kako se zahteva važećim Zakonom o zaštiti podataka, uključujući bez ograničenja sve odgovarajuće zaštitne mere koje zahteva član 46 GDPR-a.
(s) „UK GDPR“ znači GDPR kako je ugrađen u zakon Ujedinjenog Kraljevstva na osnovu člana 3 Zakona o Evropskoj uniji (povlačenje) Ujedinjenog Kraljevstva 2018.
(t) „Standardne ugovorne klauzule u Velikoj Britaniji“ znači standardne klauzule o zaštiti podataka koje povremeno usvaja Kancelarija komesara za informacije Velike Britanije (ICO) u skladu sa članom 46 (2) GDPR-a u Velikoj Britaniji, uključujući, ali ne ograničavajući se na, međunarodni sporazum o prenosu podataka (UK IDTA) i Standardne ugovorne klauzule EU kako su izmenjene ICO-ovim međunarodnim dodavanjem za prenos podataka standardnim ugovornim klauzulama Komisije EU (Dodatak u Velikoj Britaniji„). [1]

1 Pogledaj https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/international-data-transfer-agreement-and-guidance/.

3. USKLAĐENOST SA VAŽEĆIM ZAKONOM O ZAŠTITI PODATAKA

Strane će poštovati važeći zakon o zaštiti podataka onako kako se primenjuje na njih i kako se ovde zahteva. Prilikom pružanja Usluga, Pružatelj će se posebno pridržavati odredbi važećeg Zakona o zaštiti podataka u vezi sa obradom ličnih podataka kao izvršitelj obrade.

4. OBIM OBRADE

Provajder će obrađivati lične podatke samo (a) u skladu sa uslovima ovog DPA i Ugovora; ili (b) na osnovu drugih dokumentovanih uputstava kompanije Siemens. Provajder neće obrađivati lične podatke u sopstvene svrhe niti ih prenositi trećim licima, osim ako to dozvoli ovaj DPA. Provajder će odmah obavestiti Siemens ako, prema njegovom mišljenju, uputstvo kompanije Siemens krši važeći zakon o zaštiti podataka.

5. DETALJI O PRUŽENIM OPERACIJAMA OBRADE

Detalji o operacijama obrade koje pruža Pružatelj usluga - posebno predmet obrade, priroda i svrha obrade, vrste obrađenih ličnih podataka i kategorije pogođenih subjekata podataka - navedeni su u Aneks I ovom DPA.

6. TEHNIČKE I ORGANIZACIONE MERE

Uzimajući u obzir stanje tehnike, troškove implementacije i prirodu, obim, kontekst i svrhe obrade, kao i rizik različite verovatnoće i ozbiljnosti za prava i slobode fizičkih lica, Provajder će primeniti odgovarajuće tehničke i organizacione mere kako bi se osigurao nivo bezbednosti koji odgovara riziku, uključujući, ali ne ograničavajući se na, prema potrebi: (a) pseudonimizaciju i šifrovanje ličnih podataka; b) sposobnost da se obezbedi poverljivost, integritet, dostupnost i otpornost Sistemi i usluge obrade; (c) mogućnost pravovremenog vraćanja dostupnosti i pristupa ličnim podacima u slučaju fizičkog ili tehničkog incidenta; (d) postupak redovnog testiranja, procene i procene efikasnosti tehničkih i organizacionih mera za obezbeđivanje bezbednosti obrade. Ne dovodeći u pitanje opštost prethodne rečenice, Provajder će u svakom trenutku sprovoditi barem tehničke i organizacione mere opisane u Aneks IIovom DPA.

1 Pogledaj https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/international-data-transfer-agreement-and-guidance/.

7. POSVEĆENOST POVERLJIVOSTI

Provajder će ograničiti pristup ličnim podacima svog osoblja na osnovu potrebe za poznavanjem. Provajder će detaljno obavestiti svoje osoblje o važećim zakonskim i ugovornim odredbama u vezi sa zaštitom podataka. Provajder će staviti svoje osoblje pod obavezu da se pridržava takvih odredbi, a posebno da čuva lične podatke u tajnosti i da ne obrađuje lične podatke osim u skladu sa Siemensovim uputstvima. Obaveza čuvanja tajnosti će se nastaviti primenjivati i nakon isteka ovog Ugovora i ugovornog odnosa osoblja sa Pružateljem usluga. Provajder će dostaviti dokaz o takvoj obavezi na zahtev.

8. PODPROCESORI

(a) Provajder ima opšte odobrenje kompanije Siemens za angažovanje podprocesora. Trenutna lista podprocesora koje je naručio Provajder sadržana je u Aneks III ovom DPA.
(b) Provajder će posebno pismeno obavestiti Siemens o svim planiranim promenama na toj listi dodavanjem ili zamenom Podprocesora najmanje 30 dana unapred. Provajder će Siemensu dostaviti informacije neophodne da bi Siemensu omogućio da ostvari pravo na prigovor. Ako Siemens ne pokaže primedbe u ovom periodu od 30 dana, to će se uzeti kao odobrenje novog podprocesora. Ako Siemens pokaže primedbe, Provajder će - pre nego što ovlašćuje Podprocesora za pristup ličnim podacima - uložiti razumne napore da odgovori na zabrinutosti i rezerve koje je izneo Siemens i (i) suzdržati se od korišćenja podprocesora; ili (ii) predložiti Siemensu razumnu promenu Usluga ili Siemensovoj konfiguraciji ili korišćenju Usluga kako bi se izbegla obrada ličnih podataka od strane novog podprocesora. Ako Provajder nije u mogućnosti da otkloni razloge za prigovor kompanije Siemens, Siemens ima pravo da prekine pogođene Usluge bez ikakve štete ili kazne. U slučaju raskida od strane kompanije Siemens, Provajder će proporcionalno vratiti sve unapred plaćene iznose za važeću Uslugu.
(c) Kada Provajder angažuje Podprocesora za obavljanje određenih aktivnosti obrade (u ime Siemens-a i/ili ovlašćenih entiteta), on će to učiniti pismenim ugovorom koji u suštini predviđa iste obaveze zaštite podataka kao one koje obavezuju dobavljača prema ovom DPA.
(d) Provajder će, na zahtev kompanije Siemens, dostaviti kopiju takvog ugovora o podprocesoru i sve naknadne izmjene kompanije Siemens. U meri koja je neophodna za zaštitu poslovnih tajni ili drugih poverljivih informacija, uključujući lične podatke, Dobavljač može da redigira tekst ugovora pre nego što podeli kopiju.
(e) Provajder će adekvatno i redovno revidirati Podprocesora u pogledu usklađenosti sa ovim zahtevima i dokumentovati rezultate takvih revizija.
(f) Provajder će ostati u potpunosti odgovoran Siemensu za izvršavanje obaveza Podprocesora iz njegovog ugovora sa Provajderom. Provajder će obavestiti Siemens o svakom neuspehu od strane Podprocesora da ispuni svoje obaveze iz tog ugovora.

9. MEĐUNARODNA OBRADA PODATAKA

U slučaju ograničenih transfera dobavljaču, Provajder će osigurati da takav ograničeni prenos bude pokriven odgovarajućim zaštitnim merama prenosa kako je navedeno u ovom Odeljak 9 i Aneks III ovom DPA.

(a) Standardne ugovorne klauzule. Sledeće će se primenjivati ako se zaštita od prenosa zasniva na standardnim ugovornim klauzulama:
- EEA-Provajderi. Ako se dobavljač nalazi u okviru EEA, provajder će sa svojim podprocesorom sklopiti Standardne ugovorne klauzule (Modul 3). Odeljci 9 (a) (vii) („Upravljački zakon“), 9 (a) (viii) („Izbor foruma i nadležnosti“), 9 (a) (ik) (b) („Prvi deo dodatka u Velikoj Britaniji“), i druga rečenica odeljka 9 (a) (k) („Ovlašćeni entiteti u drugim zemljama“) ovog DPA neće se primenjivati ako se Dobavljač nalazi u EGP-u.
- Provajderi koji nisu EEA. Ako se dobavljač nalazi izvan EEA, ograničeni prenos će biti regulisan modulima 2 i 3 standardnih ugovornih klauzula. Relevantne odredbe sadržane u Standardnim ugovornim klauzulama ugrađene su referencom i sastavni su deo ovog DPA. Informacije potrebne za potrebe Aneksa Standardnih ugovornih klauzula navedene su u Aneksi I do IIIovom DPA.
- Klauzula o pristajanju. Opcija iz klauzule 7 Standardnih ugovornih klauzula neće se primenjivati.
- Dalji transferi. Svaki dalji prenos mora biti u skladu sa klauzulama 8 i 9 važećeg modula standardnih ugovornih klauzula. U slučaju da se Siemens nalazi izvan EGP-a i deluje kao uvoznik podataka prema Standardnim ugovornim klauzulama sa ovlašćenim entitetima, klauzula korisnika treće strane propisana klauzulom 9 (e) Standardnih ugovornih klauzula biće u korist takvog ovlašćenog entiteta.
- Upotreba podprocesoraPrimenjuje se opcija 2 prema klauzuli 9 Standardnih ugovornih klauzula. Za potrebe klauzule 9 (a) Standardnih ugovornih klauzula, dobavljač ima opšte ovlašćenje kompanije Siemens da angažuje podprocesore u skladu sa Odeljak 8 ovog DPA.
- Nadoknada. U slučaju da Provajder ponudi subjektima podataka mogućnost podnošenja žalbe nezavisnom organu za rešavanje sporova (vidi opciju u klauzuli 11 Standardnih ugovornih klauzula), Provajder će pismeno obavestiti Siemens o nadležnom arbitražnom telu i ispuniti važeće zahteve sadržane u klauzuli 11 Standardnih ugovornih klauzula i važećim arbitražnim pravilima.
- Upravljački zakon. Regulirajući zakon za potrebe klauzule 17 Standardnih ugovornih klauzula biće zakon koji je određen u odeljku o upravljačkom pravu Sporazuma. Ako Sporazum nije regulisan zakonom države članice EU, standardne ugovorne klauzule EU regulišu se zakonima Nemačke.
- Izbor foruma i nadležnosti. Sudovi prema klauzuli 18 Standardnih ugovornih klauzula biće oni koji su određeni u odeljku o mestu održavanja Sporazuma. Ako Sporazum ne određuje sud države članice EU kao isključivu nadležnost za rešavanje bilo kojeg spora ili tužbe koji proizilazi iz ili u vezi sa Sporazumom, stranke se slažu da će sudovi Nemačke imati isključivu nadležnost da rešavaju bilo koji spor koji proizilazi iz Standardnih ugovornih klauzula EU.
- Ovlašćeni entiteti u Ujedinjenom Kraljevstvu. U slučaju da ograničeni transferi potiču od ovlašćenih entiteta koji se nalaze u Ujedinjenom Kraljevstvu, primenjuje se sledeće:
  - Dodatak u Velikoj Britaniji. Upotrebljavaće se dodatak u Velikoj Britaniji, osim ako Siemens nije drugačije pismeno dogovoren.
  - Deo 1 Dodatka u Velikoj Britaniji. Deo 1 Dodatka Ujedinjenog Kraljevstva primenjuje se na sledeći način:
    1. Tabela 1: Detalji strana i ključne kontakt informacije sadržani su u Aneks I ovom DPA.
    2. Tabela 2: Verzija odobrenih SCC-ova EU (kako je definisano Dodatkom u Velikoj Britaniji) kojoj je dodatak u Velikoj Britaniji priložen su standardne ugovorne klauzule EU sa modulima i klauzulama odabranim gore u Odeljak 9 (a) ovog DPA. Nijedan lični podatak primljen od Uvoznika nije kombinovan sa ličnim podacima koje prikuplja Izvoznik.
    3. Tabela 3: Informacije o Dodatku kako zahteva Tabela 3 Dodatka u Velikoj Britaniji sadržane su u Aneksi I do III ovom DPA.
    4. Tabela 4Nijedna strana ne može prekinuti Dodatak u Velikoj Britaniji kada se odobreni dodatak (kako je definisano u Dodatku u Velikoj Britaniji) promeni.
- Ovlašćeni subjekti u drugim zemljama. U slučaju da standardne ugovorne klauzule štite ograničene transfere od ovlašćenih subjekata koji se nalaze izvan EGP i Ujedinjenog Kraljevstva (npr. Švajcarska), (1) opšte i specifične reference u standardnim ugovornim klauzulama na GDPR ili pravo EU ili države članice imaju isto značenje kao ekvivalentna referenca u važećim zakonima o zaštiti podataka zemlje u kojoj se nalazi ovlašćeni entitet; i (2) reference na „nadležni nadzorni organ“ tumače se kao reference na nadležno zaštita podataka autoritet u takvoj zemlji. Upravno pravo, izbor foruma i nadležnost regulišu se Odeljci 9 (a) (vii) i (viii) ovog DPA, osim ako zakonima koji se primenjuju na odgovarajući ovlašćeni entitet nije drugačije propisano, u tom slučaju Standardne ugovorne klauzule će biti regulisane zakonima zemlje u kojoj se nalazi ovlašćeni entitet, a svako upućivanje na nadležne „sudove“ će se tumačiti kao upućivanje na nadležne sudove u toj zemlji.
Korporativna Rules koja obavezuju procesor. Sledeće će se primenjivati ako se zaštita od prenosa zasniva na korporativnim pravilima obavezujućih procesora: Provajder će ugovorno obavezati takvog podprocesora da se pridržava korporativnih Rules obavezujućih procesora u vezi sa ličnim podacima koji se obrađuju prema ovom DPA.
Dodatne mere zaštite od transfera. U slučaju da zaštitne mere prenosa nisu zasnovane na standardnim ugovornim klauzulama, klauzula 14 i 15 Standardnih ugovornih klauzula primjenjuju se mutatis-mutandis na ograničene transfere u okviru takve druge zaštite od transfera, osim ako odgovarajuća zaštita od prenosa sadrži ista prava i obaveze koje se odnose na (i) lokalne zakone i prakse koje utiču na poštovanje zaštitnih mera prenosa i (ii) obaveze u slučaju pristupa javnih organa kao što su sadržane u klauzulama 14 i 15 Standardnih ugovornih klauzula.
Ostalo. Provajder se slaže i razume da lokalni važeći zakon o zaštiti podataka može sadržati slična ili dodatna ograničenja prenosa koja su sadržana u ovom Odeljak 9. U tom slučaju Dobavljač pristaje da uloži razumne napore i da sarađuje sa Siemens u dobroj veri kako bi se pozabavio tim zahtevima.

10. POMOĆ PROVAJDERA

Provajder će razumno pomoći Siemensu u obezbeđivanju usklađenosti sa važećim Zakonom o zaštiti podataka, posebno pomažući Siemensu na sledeći način:

(a) Ispravljanje, brisanje ili ograničenje obrade. Provajder će ili (i) pružiti mogućnost ispravljanja, brisanja ili ograničavanja obrade ličnih podataka putem funkcionalnosti Usluga, ili (ii) ispraviti, izbrisati ili ograničiti obradu ličnih podataka prema uputstvima kompanije Siemens.
(b) Pristup ličnim podacima. U meri u kojoj informacije koje se odnose na subjekta podataka nisu dostupne putem Usluge, Dobavljač će, po potrebi da omogući Siemensu i ovlašćenim subjektima da ispune svoje obaveze prema važećim zakonima o zaštiti podataka, pružiti pomoć da takve informacije učine dostupnim Siemensu i/ili ovlašćenim entitetima.
(c) Zahtevi subjekta podataka i autoriteta. Provajder će odmah obavestiti Siemens o: (i) bilo kom primljenom zahtevu ili žalbi ili bilo kojim obaveštenjima o istrazi od strane sprovođenja zakona, vladinog ili regulatornog organa ili agencije; i (ii) svakom zahtevu primljenom direktno od bilo kog subjekta podataka o njihovim ličnim podacima. Što se tiče gore navedenih (i) i (ii), Provajder neće odgovoriti bez uputstava kompanije Siemens. Ako je tako upućeno, Provajder će razumno podržati Siemens u odgovoru na takve zahteve.
(d) Prenosivost podataka. Na zahtev kompanije Siemens i ako je to potrebno prema važećem Zakonu o zaštiti podataka, dobavljač će ili (i) pružiti mogućnost izvlačenja ličnih podataka pozivanjem na određenog subjekta podataka u skladu sa funkcionalnostima Usluge ili (ii) učiniti relevantni skup podataka dostupnim Siemensu i/ili odgovarajućem ovlašćenom entitetu, u svakom slučaju u strukturiranom, uobičajenom i mašinski čitljivom formatu.
(e) Procene uticaja na zaštitu podataka. Ako to zatraži Siemens, Provajder će pružiti sve informacije i razumnu podršku za sprovođenje procena uticaja na zaštitu podataka u skladu sa važećim zakonima o zaštiti podataka.

11. PRESTANAK ODNOSA OBRADE PODATAKA

Nakon prestanka odnosa obrade podataka, osim ako Siemens nije drugačije naložio ili nije ovde navedeno, Provajder će Siemensu vratiti sve lične podatke koji su stavljeni na raspolaganje Dobavljaču usluga ili koje je Dobavljač dobio ili generisao u vezi sa ugovorno dogovorenim Uslugama i neopozivo će izbrisati ili uništiti sve preostale podatke. Brisanje ili uništavanje će biti potvrđeno od strane Pružatelja pismenim putem na zahtev.

12. OBAVEZE OBAVEŠTAVANJA

(a) Provajder će odmah obavestiti Siemens, ali u svakom slučaju u roku od 48 sati u slučaju da Provajder otkrije ili opravdano posumnja na bilo kakvo kršenje podataka.
(b) U obaveštenju Siemensu, Provajder će Siemensu dostaviti sledeće informacije: (i) detalje o kontakt tački gde se (ili od koga) može dobiti više informacija, (ii) opis prirode povrede (uključujući, gde je to moguće, imena, kategorije i približan broj predmetnih subjekata podataka i evidencije o ličnim podacima), (iii) moguće posledice i mere preduzete ili predložene za rešavanje povrede, uključujući, kada je to prikladno, mere za njegovo moguće ublažavanje štetni efekti. Ako i u meri u kojoj nije moguće istovremeno pružiti sve informacije, početno obaveštenje sadrži informacije koje su tada dostupne, a dodatne informacije će se, kako postanu dostupne, naknadno dostavljati bez nepotrebnog odlaganja.
(c) Sva obaveštenja pod ovim Odeljak 12 biće upućen (i) na odgovarajuću kontaktnu tačku utvrđenu u Sporazumu i (ii) da dataprotection@siemens.com.
(d) Provajder će, po trošku i trošak Provajdera, (i) u potpunosti sarađivati sa Siemensom u istrazi kršenja podataka; (ii) pomoći i sarađivati sa Siemensom u vezi sa svim zakonski potrebnim obaveštenjima ili otkrivanjima pogođenim osobama (individualnom komunikacijom, javnom komunikacijom putem medija ili sličnim merama), organima zakona, regulatorima i/ili drugim trećim licima; i (iii) preduzeti bilo koju drugu radnju koju Siemens smatra neophodnim u vezi sa takvim kršenjem podataka i bilo kojim sporom, istragom ili zahtevom koji se odnosi na kršenje podataka.
(e) Osim ako važeći zakon ili nalog nadležnog regulatora ne nalaže drugačije, Siemens će doneti konačnu odluku, po sopstvenom nahođenju, (i) da li je za kršenje podataka potrebno obaveštenje i (ii) o načinu obaveštenja. U slučaju da Provajder pruži takva obaveštenja u vezi sa kršenjem podataka, sva takva obaveštenja mora unapred odobriti Siemens.
(f) Provajder će na svoju cenu preduzeti odgovarajuće mere za rešavanje povrede podataka, uključujući mere za ublažavanje njegovih štetnih efekata (uključujući korake za zaštitu operativnog okruženja). Provajder će takođe preduzeti brze korake osmišljene da spreči ponavljanje bilo kakvog kršenja podataka, uključujući sve radnje koje zahteva važeći zakon o zaštiti podataka.
(g) Provajder će nadoknaditi Siemensu sve troškove i troškove nastale za takvo kršenje podataka prouzrokovano od strane provajdera, uključujući, ali ne ograničavajući se na troškove pružanja kreditnog nadzora pojedincima na čije lične podatke utiče povreda podataka. Ograničenja odgovornosti u korist dobavljača prema Ugovoru neće se primenjivati u ovom pogledu.

13. DOKUMENTACIJA I REVIZIJE

(a) Dobavljač će (i) nadgledati, odgovarajućim sredstvima, sopstveno poštovanje svojih obaveza zaštite podataka u skladu sa ovim DPA i važećim Zakonom o zaštiti podataka; (ii) kreira povezane periodične (najmanje godišnje) i izveštaje zasnovane na prilikama (svaki a“Izveštaj„); i (iii) učiniti Izveštaje dostupnim Siemensu i ovlašćenim entitetima na zahtev. Tamo gde kontrolni standard i okvir koji sprovodi Provajder predviđaju kontrole, takve kontrole će se vršiti u skladu sa standardima i pravilima regulatornog ili akreditacionog tela za svaki primenljivi kontrolni standard ili okvir.
(b) Ako je potrebno adekvatno rešiti svoja prava i obaveze revizije prema važećem Zakonu o zaštiti podataka, važećim zaštitnim merama prenosa ili ako to zatraži nadležni organ za zaštitu podataka ili drugi nadležni državni organ ili agencija, dobavljač će Siemensu i ovlašćenim subjektima - pored Izveštaja - staviti na raspolaganje sve dodatne informacije koje razumno traži i doprinosi revizijama, uključujući inspekcije koje sprovode Siemens ili ovlašćeni subjekti. U tu svrhu, Siemens, ovlašćeni subjekti ili drugi revizor koji je naložio Siemens ili ovlašćeni entiteti takođe imaju pravo da izvrše inspekcije na licu mesta tokom redovnog radnog vremena, bez ometanja poslovanja dobavljača i nakon razumnog prethodnog obaveštenja.

14. UPOTREBA KOLAČIĆA

Ako Usluga koristi cookies ili slične tehnologije, primenjuje se sledeće: Provajder će, osim ako Siemens posebno ne dogovori drugačije u odnosu na ovo Odeljak 14, samo čuvaju informacije (npr. pisanjem cookie) ili dobijaju pristup informacijama koje su već sačuvane u terminalnoj opremi korisnika Usluge (npr. putem cookie) isključivo u svrhu obavljanja prenosa komunikacije preko elektronske komunikacione mreže, ili kako je to neophodno da bi Pružatelj pružio osnovne funkcionalnosti Usluga.

15. RAZNO

Provajder razume i slaže se da su zahtevi u ovom DPA sastavni deo Sporazuma i da će se materijalno kršenje bilo kog od ovih zahteva smatrati materijalnim kršenjem od strane Dobavljača Sporazuma, dajući Siemens pravo na materijalne pravne lekove povezane sa kršenjem sadržane u Sporazumu.

16. DODATNI ZAHTEVI U VEZI SA PODACIMA SIEMENSA

Ako i u meri u kojoj Provajder pristupa ličnim podacima dobijenim od kompanije Siemens grupe sa sjedištem u Sjedinjenim Američkim Državama (“Siemensova američka kompanija„) ili subjekta podataka koji je rezident Sjedinjenih Američkih Država, onda pored gore navedenog, Provajder: (i) će se pridržavati američkih saveznih, državnih i lokalnih zakona u vezi sa ličnim podacima koji su primenljivi na dobavljača, takve lične podatke i vlasnike ili kontrolore takvih ličnih podataka; kada je gore navedeno primenljivo, termin „Primenljivi zakon o zaštiti podataka“ koji se ovde koristi uključuje gore navedene zakone; (ii) osim ako je ovde posebno predviđeno u Sporazumu, neće prodavati, deliti, iznajmljivati, objavljivati, objavljivati, širiti ili stavljati na raspolaganje Lične podatke trećim licima; i neće kombinovati lične podatke sa drugim informacijama; (iii) obavestiće Siemens ako Provajder odluči da dobavljač više ne može da ispunjava svoje obaveze iz ovoga; (iv) će osigurati da svako lice koje obrađuje lične podatke podleže dužnosti poverljivosti u pogledu ličnih podataka; (v) će se smatrati i delovati kao „dobavljač usluga“ prema važećem Zakonu o zaštiti podataka (uključujući Kalifornijski Zakon o privatnosti potrošača, njegove propise o sprovođenju i sve njihove izmene); i (vii) ovim potvrđuje da razume ograničenja sadržana ovde i da će ih se pridržavati.

Aneks I DPA (i, gde je primenljivo, Standardne ugovorne klauzule)

A.SPISAK STRANAKA

Primalac usluga/izvoznik podataka:

Naziv:	Siemens entitet naveden na obrascu za izvršenje
Adresa:	Kao što je navedeno na obrascu za izvršenje
Ime kontakta, položaj i kontakt podaci	Kancelarija Siemensovog službenika za zaštitu podataka Verner-von-Siemens-Straße 1, 80333 Minhen, Nemačka E-pošta: datapotection@siemens.com
Aktivnosti relevantne za prenesene/obrađene podatke	Partner će pružati usluge uspeha korisnika i/ili održavanje i podršku klijentima kako je navedeno u Obrascu za autorizaciju partnera u skladu sa Ugovorom. Prilikom obavljanja ovih usluga, Partner takođe može imati pristup sistemima i mrežama krajnjih klijenata kompanije Siemens i pristup ličnim podacima ne može biti isključen.
Uloga (kontroler/procesor)	Siemens deluje kao Controller za aktivnosti obrade koje pruža Provajder u odnosu na Siemens-a i kao izvršitelj obrade prema uputstvima svojih ovlašćenih entiteta za aktivnosti obrade koje pruža Provajder u odnosu na ovlašćene entitete.

Provajder/uvoznik podataka:

ime:	Entitet provajdera naveden na obrascu za izvršenje
Adresa:	Kao što je navedeno na obrascu za izvršenje
Ime kontakta, položaj i kontakt podaci	Kao što je navedeno na obrascu za autorizaciju partnera
Aktivnosti relevantne za prenesene/obrađene podatke	Pogledajte gornju tabelu
Uloga (kontroler/procesor)	Provajder deluje kao izvršitelj obrade ličnih podataka u ime Siemens-a i, ovisno o slučaju, ovlašćenih entiteta.

B.OPIS OPERACIJA PRENOSA/OBRADE

Kategorije ispitanika čiji se lični podaci prenosi/obrađuju:	☒ Zaposleni i osoblje (uključujući kandidate, redovne, privremene, skraćeno radno vreme, pripravnike, izvođače radova i agente) ☒ Kontakt osobe kod poslovnih partnera, dobavljača, dobavljača i drugih partnera za saradnju ☒ Kupci i/ili njihovi zaposleni i osoblje (uključujući kandidate, redovne, privremene, skraćeno radno vreme, pripravnike, izvođače radova i agente) ☒ Korisnici Siemensovih softverskih proizvoda/usluga ☐ Ostalo, molimo navedite: Dalje pogođeni subjekti podataka čiji su lični podaci sadržani u aplikaciji ili IT sistemu koji je u obimu pruženih Usluga.
Kategorije prenosih/obrađenih ličnih podataka	☒ Kontakt informacije (kao što su ime, adresa, broj telefona ili faksa, adresa e-pošte itd.) ☒ Organizaciona organizacija (kao što je radno mesto, odeljenje itd.) ☒ Podaci o lokaciji (kao što je GPS, itd.) ☐ Vladini i lični identifikatori (kao što su broj socijalnog osiguranja, broj vozačke dozvole, broj socijalnog osiguranja itd.) ☐ Finansijski podaci (kao što su prihodi, kreditni dosijei, transakcije, kreditne informacije, navike kupovine i potrošnje, status nesolventnosti itd.) ☐ Podaci o zapošljavanju (kao što su podaci o zapošljavanju i kvalifikacije, podaci o naknadama i platnim spiscima, podaci o identifikaciji zaposlenih, status zaposlenog, podaci o prisustvu, podaci o istoriji rada itd.) ☒ Podaci o korisničkom nalogu (kao što su korisničko ime/ID i lozinka itd.) ☒ Informacije vezane za upotrebu IT sredstava od strane subjekta podataka (kao što su IP adresa, podaci za prijavu, akreditivi itd.) ☐ Informacije o finansijskim računima (kao što su podaci o bankarstvu/kreditnoj kartici, brojevi računa, brojevi kreditnih kartica itd.) ☐ Ostalo; molimo navedite: Sve dodatne lične podatke sadržane u aplikaciji ili IT sistemu koji su u obimu pruženih Usluga.
Posebne kategorije ličnih podataka kojima se pristupa ili obrađuje	☐ Informacije o rasnom ili etničkom poreklu ☐ Informacije o političkim mišljenjima ☐ Informacije o verskim ili filozofskim verovanjima ☐ Informacije o članstvu u sindikatima ☐ Informacije o seksualnom životu ili seksualnoj orijentaciji ☐ Biometrijski podaci ☐ Genetski podaci ☐ Zdravstveni podaci (kao što su mentalni ili fizički invaliditet, porodična anamneza, lična medicinska istorija, medicinska dokumentacija, recepti itd.) ☐ Ostalo; molimo navedite: Ograničenja ili zaštitne mere koje se primenjuju na takve osetljive lične podatke opisane su u Aneks II ovom DPA
Učestalost prenosa (pristup/obrada)	☐ Provajder hostuje lične podatke u ime Siemens-a i, ovisno o slučaju, ovlašćenih entiteta ☒ Provajder daljinski pristupa ličnim podacima prilikom pružanja usluga ☒ na jednokratnoj osnovi ☒ na kontinuiranoj osnovi ☐ Provajder na drugi način obrađuje lične podatke prilikom pružanja usluga ☐ na jednokratnoj osnovi ☐ na kontinuiranoj osnovi
Priroda obrade	☐ Kolekcija ☒ Snimanje ☒ Organizacija ☒ Strukturiranje ☐ Skladištenje ☒ Prilagođavanje ili izmena ☐ Preuzimanje ☒ Konsultacije ☒ Koristite ☐ Otkrivanje putem prenosa ☐ Diseminacija ☐ Inače stavljanje na raspolaganje ☐ Poravnanje ili kombinacija ☐ Ograničenje ☐ Brisanje ili uništavanje podataka ☒ Daljinski pristup ☐ Ostalo:
Svrha/aktivnosti relevantne za prenesene/obrađene podatke	☒ Provajder obezbeđuje usluge održavanja i podrške i mogu imati pristup, uključujući daljinski pristup ličnim podacima. ☐ Provajder obezbeđuje profesionalne usluge obavljanjem usluga u vezi sa aplikacijom/sistemom ili mrežom kao što su: instalacija, konfiguracija ili migracija podataka ili druge povezane IT usluge i mogu imati pristup, uključujući daljinski pristup ličnim podacima. ☐ Provajder obezbeđuje upravljane usluge, uključujući upravljanje podatkovnim centrom i infrastrukturom, upravljanje rezervnim kopijama i oporavkom i mogu imati pristup, uključujući daljinski pristup ličnim podacima. ☐ Provajder obezbeđuje XaaS (Software, platforma ili infrastruktura kao usluga) pružanjem usluga hostinga, rada, upravljanja i održavanja i podrške. ☒ Ostalo: Provajder pruža usluge uspeha kupaca i može imati pristup, uključujući daljinski pristup, ličnim podacima.
Trajanje	☐ Lični podaci će se čuvati tokom perioda trajanja Ugovora. ☐ Lični podaci će se čuvati tokom perioda od: ☒ Ostalo: Lični podaci će se čuvati tokom perioda Porudžbine, osim ako nije drugačije navedeno.
Za prenose podprocesorima, navedite i predmet, prirodu i trajanje obrade	Predmet, priroda i trajanje obrade navedeni su po podprocesoru u Aneks III ovom DPA.

C.NADLEŽNI NADZORNI ORGAN

Ako je Siemens osnovan u državi članici EU, nadzorni organ koji je odgovoran za obezbeđivanje poštovanja GDPR-a od strane Siemensa u pogledu prenosa podataka deluje kao nadležni nadzorni organ. Za Siemens Aktiengesellschaft, Nemačka, nadzorni organ je:

Bajerski teritorij za pouzdanje podataka (BaiLDA)

Šetalište 18

91522 Ansbah

Nemačka

Ako Siemens nema poslovni nastan u državi članici EU, ali spada u teritorijalni opseg primene GDPR-a u skladu sa članom 3 (2), nadzorni organ države članice u kojoj je predstavnik u smislu člana 27 (1) GDPR-a deluje kao nadležni nadzorni organ; i to:

Bajerski teritorij za pouzdanje podataka (BaiLDA)

Šetalište 18

91522 Ansbah

Nemačka

Aneks II DPA (i, gde je primenljivo, Standardne ugovorne klauzule)

Tehničke i organizacione mere (uključujući tehničke i organizacione mere za obezbeđivanje sigurnosti podataka)

Sledeće mere će se primenjivati samo na Dobavljača, ukoliko su osnovni IT sistemi, mreže i aplikacije odgovorni i/ili pod skrbništvom ili kontrolom Dobavljača. Opis tehničkih i organizacionih mera bezbednosti koje sprovodi Provajder i njegovi podprocesori:

#	Mere	sferA ID pravila
Fizička i ekološka Security
	Provajder sprovodi odgovarajuće mere za sprečavanje neovlašćenih lica da dobiju pristup opremi za obradu podataka (naime, serverima baze podataka i aplikacija i srodnom hardveru). Ovo će se postići: uspostavljanje bezbednosnih područja; zaštita i ograničavanje pristupnih puteva; obezbeđivanje decentralizovane opreme za obradu podataka i ličnih računara; uspostavljanje ovlašćenja za pristup zaposlenima i trećim licima, uključujući odgovarajuću dokumentaciju; propisi o pristupnim karticama; ograničenja pristupnih kartica; sav pristup centru podataka u kome se nalaze lični podaci biće evidentirani, nadgledani i praćeni; centar podataka u kome se nalaze lični podaci obezbeđen je kontrolom ograničenog pristupa i drugim odgovarajućim merama bezbednosti; i održavanje i pregled prateće opreme u IT oblastima i data centrima vrši samo ovlašćeno osoblje.	11.1.1-02
Kontrola pristupa (IT-sistemi i/ili IT-aplikacija)
	Provajder implementira koncept uloga i odgovornosti.	06.1.1-01
	Provajder implementira okvir za autorizaciju i autentifikaciju uključujući, ali ne ograničavajući se na, sledeće elemente: implementirane kontrole pristupa zasnovane na ulogama; proces kreiranja, modifikacije i brisanja implementiranih naloga; pristup IT sistemima i aplikacijama zaštićen je mehanizmima za autentifikaciju; koriste se odgovarajuće metode autentifikacije na osnovu karakteristika i tehničkih opcija IT sistema ili aplikacije; pristup IT sistemima i aplikacijama zahteva najmanje dvofaktorsku autentifikaciju za privilegovane račune; sav pristup ličnim podacima se evidentira, prati i prati; sprovedene mere autorizacije i evidentiranja za ulazne mrežne veze sa IT sistemima i aplikacijama (uključujući zaštitne zidove koji omogućavaju ili uskraćuju ulazne mrežne veze); privilegovana prava pristupa IT sistemima, aplikacijama i mrežnim uslugama dodeljuju se samo pojedincima kojima je to potrebno za izvršavanje svojih zadataka (princip najmanje privilegije); privilegovana prava pristupa IT sistemima i aplikacijama su dokumentovana i ažurirana; prava pristupa IT sistemima i aplikacijama se redovno pregledavaju i ažuriraju; primenjena politika lozinke, uključujući zahteve u vezi sa složenošću lozinke, minimalnom dužinom i istekanjem nakon odgovarajućeg vremenskog perioda, bez ponovne upotrebe nedavno korišćenih lozinki; IT sistemi i aplikacije tehnički primenjuju politiku lozinke; prava pristupa zaposlenih i spoljnog osoblja IT sistemima i aplikacijama uklanjaju se odmah po prestanku rada ili ugovora; i obezbeđena je upotreba sigurnih najsavremenijih sertifikata za autentifikaciju.	09.1.1-02 09.1.1-03 09.2.3-01 09.4.2-02
	IT sistemi i aplikacije se automatski zaključavaju ili prekidaju sesiju nakon prekoračenja razumnog definisanog vremenskog perioda mirovanja.	11.2.9-03 11.2.9-04
	Provajder ograničava privilegovani pristup sredstvima u oblaku na pojedinačne ili određene opsege IP adresa.	ST002-0008
	Privilegovani pristup sredstvima u oblaku vrši se preko bastionskog hosta.	ST002-0009
	Provajder održava procedure za prijavu na IT sisteme sa zaštitnim merama od sumnjivih aktivnosti prijavljivanja (npr. Od napada grube sile i nagađanja lozinki).	09.4.2-02
Kontrola dostupnosti
	Provajder štiti sisteme i aplikacije od zlonamernog softvera primenom odgovarajućih i najsavremenijih rešenja protiv malvera.	12.2.1-01
	Provajder definiše, dokumentuje i implementira koncept rezervnih kopija za IT sisteme, uključujući sledeće tehničke i organizacione elemente: rezervne kopije medija za skladištenje zaštićeni su od neovlašćenog pristupa i opasnosti po životnu sredinu (npr. Toplota, vlažnost, požar); definisani rezervni intervali; i obnavljanje podataka iz rezervnih kopija redovno se testira na osnovu kritičnosti IT sistema ili aplikacije.	12.3.1-01
	Provajder skladišti rezervne kopije na fizičkoj lokaciji koja se razlikuje od lokacije na kojoj se nalazi produktivni sistem.	ST002-0013
	IT sistemi i aplikacije u neproizvodnim okruženjima logički su ili fizički odvojeni od IT sistema i aplikacija u proizvodnim okruženjima.	12.1.4-01
	Centri podataka u kojima se čuvaju ili obrađuju lični podaci zaštićeni su od prirodnih katastrofa, fizičkih napada ili nesreća.	11.1.4-02
	Prateća oprema u IT oblastima i data centrima, kao što su kablovi, struja, telekomunikacioni objekti, vodosnabdevanje ili sistemi za klimatizaciju zaštićena je od poremećaja i neovlašćenih manipulacija.	11.1.4-02
Operativna bezbednost
	Provajder održava i implementira Okvir bezbednosti informacija koji odražava ovde opisane mere, koji se redovno pregledava i ažurira.	05.1.1-01
	Provajder beleži događaje relevantne za bezbednost, kao što su aktivnosti upravljanja korisnicima (npr. Kreiranje, brisanje), neuspešne prijave, promene bezbednosne konfiguracije sistema na IT sistemima i aplikacijama.	12.4.1-01
	Provajder kontinuirano analizira odgovarajuće podatke dnevnika IT sistema i aplikacija za anomalije, nepravilnosti, pokazatelje kompromisa i druge sumnjive aktivnosti.	12.4.1-03
	Provajder redovno skenira i testira IT sisteme i aplikacije za bezbednosne ranjivosti.	12.6.1-01
	Provajder implementira i održava proces upravljanja promenama za IT sisteme i aplikacije.	12.1.2-01
	Provajder održava proces ažuriranja i implementacije bezbednosnih ispravki i ažuriranja dobavljača na odgovarajućim IT sistemima i aplikacijama.	12.6.1-03
	Provajder nepovratno briše podatke ili fizički uništava medij za skladištenje podataka pre odlaganja ili ponovne upotrebe IT sistema.	11.2.7-01
Kontrole prenosa
	Provajder redovno dokumentuje i ažurira mrežne topologije i njene bezbednosne zahteve.	13.1.1-02
	Provajder kontinuirano i sistematski nadgleda IT sisteme, aplikacije i relevantne mrežne zone kako bi otkrio zlonamerne i abnormalne mrežne aktivnosti zaštitni zidovi (npr. Državni zaštitni zidovi, zaštitni zidovi aplikacija); Proki serveri; Sistemi za otkrivanje upada (IDS) i/ili sistemi za sprečavanje upada (IPS); Filtriranje URL-a; i Sistemi bezbednosnih informacija i upravljanja događajima (SIEM).	13.1.1-06
	Provajder upravlja IT sistemima i aplikacijama koristeći najsavremenije šifrovane veze.	13.1.3-09
	Provajder štiti integritet sadržaja tokom prenosa pomoću najsavremenijih mrežnih protokola, kao što je TLS.	13.2.3-05
	Provajder šifrira ili omogućava svojim provajderima da šifruju podatke provajdera koji se prenose preko javnih mreža.	ST002-0017
	Provajder koristi sigurne sisteme za upravljanje ključevima (KMS) za čuvanje tajnih ključeva u oblaku.	ST002-0018
Security incidenti
	Provajder održava i sprovodi postupak rukovanja incidentima, uključujući, ali ne ograničavajući se na: evidencije o kršenjima bezbednosti; Procesi obaveštavanja provajdera; i šema odgovora na incidente za rešavanje sledećeg u trenutku incidenta: (i) uloge, odgovornosti i strategije komunikacije i kontakata u slučaju kompromisa (ii) specifične procedure odgovora na incidente i (iii) pokrivenost i odgovori svih kritičnih komponenti sistema.	06.1.3-01
Upravljanje imovinom, nabavka sistema, razvoj i održavanje
	Provajder identifikuje i dokumentuje zahteve za bezbednost informacija pre razvoja i nabavke novih IT sistema i aplikacija, kao i pre poboljšanja postojećih IT sistema i aplikacija.	14.1.1-01
	Provajder uspostavlja formalni proces za kontrolu i izvršavanje promena razvijenih aplikacija.	14.2.2-01
	Provajder planira i uključuje bezbednosne testove u životni ciklus razvoja sistema IT sistema i aplikacija.	14.2.8-01
	Provajder implementira adekvatan proces bezbednosnog zakrpanja koji uključuje: praćenje komponenti za potencijalne slabosti (CVE); prioritetna ocena fiksa; pravovremena implementacija popravke; i preuzimanje zakrpa iz pouzdanih izvora.	08.1.1-01 PR001-0001
Security ljudskih resursa
	Provajder sprovodi sledeće mere u oblasti bezbednosti ljudskih resursa: zaposleni sa pristupom ličnim podacima vezani su obavezama poverljivosti; i zaposleni sa pristupom ličnim podacima redovno se obučavaju u vezi sa važećim zakonima i propisima o zaštiti podataka.	07.1.1-01
	Provajder implementira proces offboardinga za zaposlene u provajderu i spoljne dobavljače.	07.3.1-02 08.1.4-01
Kriptografija (relevantna za DP u kontekstu mrežnih usluga)
	Provajder koristi sigurne najsavremenije sertifikate i implementira sledeće: digitalni sertifikati se prihvataju i veruju se samo ako je digitalni sertifikat izdao pouzdan certifikacijski organ; sertifikati se koriste i dodeljuju namenskim IT-sistemima i aplikacijama; i validnost digitalnih sertifikata je verifikovana.	07.1.1-01
	Provajder implementira proces upravljanja i implementacije kriptografskih ključeva, uključujući pravila i zahteve za generisanje, skladištenje, pravljenje rezervnih kopija, distribuciju i opozivanje kriptografskih ključeva.	07.3.1-02 08.1.4-01

Aneks III DPA (i, gde je primenljivo, Standardne ugovorne klauzule)

SPISAK PODPROCESORA I LOKACIJA DATA CENTRA

„Obrazac za autorizaciju partnera“ navodi

Entiteti (uključujući Partnera i podprocesore) koji se bave skladištenjem/hostingom ličnih podataka,

Primenljive lokacije centra podataka,

Podprocesori koji se bave obradom ličnih podataka u svrhe neskladištenja/hostinga,

koji su ovde uključeni ovom referencom.

Provajder neće prenositi lične podatke sa odgovarajuće lokacije Data Centra bez Simensovog pristanka. Mehanizam obaveštavanja i prigovora sadržan u Odeljak 8 neće se primenjivati u tom pogledu.