ДОГОВОР ОБ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
Настоящий договор об обработке персональных данных (далее — «Договор») заключён в [Место заключения], [Дата заключения договора], между следующими сторонами:
1. СТОРОНЫ
1.1 [Наименование ответственного обработчика]
Регистрационный код: [Регистрационный код ответственного обработчика]
Адрес: [Адрес ответственного обработчика]
(далее — «Ответственный обработчик»)
1.2 [Наименование уполномоченного обработчика]
Регистрационный код: [Регистрационный код уполномоченного обработчика]
Адрес: [Адрес уполномоченного обработчика]
(далее — «Уполномоченный обработчик»)
2. РОЛИ СТОРОН И СВЯЗЬ ДОГОВОРА С ОСНОВНЫМ ДОГОВОРОМ
2.1 Ответственный обработчик определяет, в каких целях и каким способом обрабатываются персональные данные.
2.2 Уполномоченный обработчик обрабатывает персональные данные только на основании документально оформленных указаний Ответственного обработчика и не использует их в своих целях.
2.3 Настоящий Договор является приложением к договору об основной услуге, заключённому между сторонами (далее — «Основной договор»), и не изменяет его условий. По вопросам обработки персональных данных в случае противоречия между Договором и Основным договором применяется Договор.
2.4 В Договоре понятия (напр. персональные данные, обработка, субъект данных, нарушение, связанное с персональными данными) используются в значении, установленном в статье 4 Общего регламента по защите данных (ЕС) 2016/679 (далее — «ОРЗД»).
2.5 Договор действует в течение срока действия Основного договора и до тех пор, пока Уполномоченный обработчик обрабатывает персональные данные от имени Ответственного обработчика.
3. ПРЕДМЕТ, ХАРАКТЕР И ЦЕЛЬ ОБРАБОТКИ
3.1 Основная услуга, при оказании которой обрабатываются персональные данные:
[Основная услуга, в рамках которой обрабатываются данные]
3.2 Цель обработки:
[Цель обработки]
3.3 Характер обработки охватывает сбор, запись, хранение, упорядочение, использование, передачу Ответственному обработчику и удаление персональных данных в объёме, необходимом для оказания основной услуги, указанной в пункте 3.1.
3.4 Продолжительность обработки соответствует сроку действия Договора, указанному в пункте 2.5, к которому добавляется время возврата и удаления, указанное в пункте 12.
4. ОБРАБАТЫВАЕМЫЕ ДАННЫЕ
4.1 Виды обрабатываемых персональных данных: [Виды обрабатываемых данных]
4.2 Категории субъектов данных: [Категории субъектов данных]
4.3 Уполномоченный обработчик не обрабатывает иные виды персональных данных или персональные данные иных субъектов данных, если Ответственный обработчик не предусмотрел этого документально оформленным указанием.
4.4 Обработка охватывает персональные данные особых категорий (ОРЗД ст. 9), которые требуют более строгих мер защиты и ограниченного доступа.
5. ПРАВА И ОБЯЗАННОСТИ ОТВЕТСТВЕННОГО ОБРАБОТЧИКА
5.1 Ответственный обработчик обеспечивает наличие у него правового основания для обработки персональных данных и информирование субъектов данных об обработке.
5.2 Ответственный обработчик даёт указания в письменной форме или в форме, допускающей письменное воспроизведение. Договор и Основной договор считаются документально оформленными указаниями Ответственного обработчика.
5.3 Ответственный обработчик вправе получать информацию об исполнении Договора и проверять соответствие деятельности Уполномоченного обработчика Договору в порядке, установленном пунктом 11.
6. ОБЯЗАННОСТИ УПОЛНОМОЧЕННОГО ОБРАБОТЧИКА
6.1 Уполномоченный обработчик обрабатывает персональные данные только на основании документально оформленных указаний Ответственного обработчика, в том числе при передаче персональных данных в третью страну или международную организацию, за исключением случая, когда он обязан сделать это на основании применимого к нему права Европейского союза или государства-члена. В таком случае Уполномоченный обработчик сообщает Ответственному обработчику об этом правовом требовании до обработки, если это право не запрещает такое сообщение (ОРЗД ст. 28 ч. 3 п. a).
6.2 Уполномоченный обработчик незамедлительно сообщает Ответственному обработчику, если, по его мнению, указание нарушает ОРЗД или иные нормы о защите данных (ОРЗД ст. 28 ч. 3).
6.3 Уполномоченный обработчик обеспечивает, чтобы лица, уполномоченные обрабатывать персональные данные, обязались соблюдать конфиденциальность или на них распространялась соответствующая установленная законом обязанность соблюдения конфиденциальности (ОРЗД ст. 28 ч. 3 п. b).
6.4 Уполномоченный обработчик принимает все требуемые статьёй 32 ОРЗД меры безопасности, подробнее описанные в пункте 7.
6.5 Уполномоченный обработчик помогает Ответственному обработчику посредством надлежащих технических и организационных мер выполнять обязанность отвечать на запросы об осуществлении прав субъекта данных. Если Уполномоченный обработчик получает запрос непосредственно от субъекта данных, он незамедлительно передаёт его Ответственному обработчику и не отвечает на него сам без указания Ответственного обработчика (ОРЗД ст. 28 ч. 3 п. e).
6.6 Уполномоченный обработчик с учётом характера обработки и доступной ему информации помогает Ответственному обработчику выполнять обязанности, установленные статьями 32–36 ОРЗД, в том числе обязанности, связанные с безопасностью обработки, уведомлением о нарушении, оценкой воздействия на защиту данных и предварительной консультацией (ОРЗД ст. 28 ч. 3 п. f).
6.7 Уполномоченный обработчик ведёт реестр операций обработки, осуществляемых от имени Ответственного обработчика, если этого требует часть 2 статьи 30 ОРЗД.
6.8 Уполномоченный обработчик предоставляет Ответственному обработчику всю информацию, необходимую для подтверждения выполнения обязанностей, установленных Договором и статьёй 28 ОРЗД (ОРЗД ст. 28 ч. 3 п. h).
6.9 Уполномоченный обработчик по запросу надзорного органа сотрудничает с ним и незамедлительно уведомляет Ответственного обработчика о запросе надзорного или иного государственного органа, касающемся персональных данных, обрабатываемых от имени Ответственного обработчика, если это не запрещено законом.
7. МЕРЫ БЕЗОПАСНОСТИ
7.1 Уполномоченный обработчик применяет как минимум следующие меры: ограничение и регулярный пересмотр прав доступа, шифрование данных при передаче, создание резервных копий, журналирование доступа и инструктаж работников.
7.2 Уполномоченный обработчик применяет технические и организационные меры для обеспечения уровня безопасности, соответствующего риску, с учётом новейших достижений науки и техники, расходов на применение мер, а также характера, объёма, контекста и целей обработки и угрозы правам и свободам субъектов данных. Меры при необходимости включают обеспечение постоянной конфиденциальности, целостности, доступности и устойчивости систем и услуг обработки, способность своевременно восстановить доступность персональных данных в случае физического или технического инцидента, а также регулярное тестирование и оценку эффективности мер (ОРЗД ст. 32 ч. 1).
7.3 Уполномоченный обработчик не снижает согласованный уровень безопасности без предварительного согласия Ответственного обработчика. Более подробное описание мер безопасности может быть добавлено в качестве приложения к Договору.
8. СУБОБРАБОТЧИКИ
8.1 Уполномоченный обработчик может привлекать субобработчиков, уведомив об этом Ответственного обработчика в письменной форме не менее чем за [Срок предварительного уведомления о субобработчике (в днях)] дн..
8.2 Ответственный обработчик вправе заявить обоснованное возражение против привлечения. До разрешения возражения Уполномоченный обработчик не привлекает субобработчика к обработке персональных данных Ответственного обработчика.
8.3 Уполномоченный обработчик обеспечивает договором, чтобы на субобработчика распространялись те же обязанности по защите данных, которые согласованы в настоящем Договоре, в частности достаточные гарантии применения надлежащих технических и организационных мер (ОРЗД ст. 28 ч. 4).
8.4 Уполномоченный обработчик отвечает за действия субобработчика как за свои собственные и остаётся перед Ответственным обработчиком в полной мере ответственным за выполнение обязанностей субобработчиком (ОРЗД ст. 28 ч. 4).
8.5 Уполномоченный обработчик ведёт актуальный перечень субобработчиков, обрабатывающих персональные данные Ответственного обработчика, и представляет его Ответственному обработчику по требованию.
9. ПЕРЕДАЧА ДАННЫХ
9.1 Персональные данные не передаются за пределы Европейской экономической зоны.
9.2 Для передачи персональных данных за пределы Европейской экономической зоны, в том числе для предоставления удалённого доступа к ним, требуется предварительное письменное согласие Ответственного обработчика и изменение Договора.
10. УВЕДОМЛЕНИЕ О НАРУШЕНИИ
10.1 Уполномоченный обработчик уведомляет Ответственного обработчика о нарушении, связанном с персональными данными, без необоснованной задержки, но не позднее чем в течение [Срок уведомления о нарушении (в часах)] ч. с момента, когда ему стало известно о нарушении (ОРЗД ст. 33 ч. 2).
10.2 Уведомление содержит описание нарушения, категории и примерное количество затронутых данных и субъектов данных, контактные данные лица для получения информации, описание вероятных последствий нарушения, а также принятые или планируемые меры, в том числе меры по смягчению возможного вредного воздействия (ОРЗД ст. 33 ч. 3). Если всю информацию невозможно представить одновременно, она представляется поэтапно без необоснованной дальнейшей задержки.
10.3 Уполномоченный обработчик незамедлительно принимает меры по смягчению последствий нарушения, документирует нарушение и помогает Ответственному обработчику при уведомлении надзорного органа и субъектов данных. Уполномоченный обработчик не уведомляет о нарушении субъектов данных или общественность без указания Ответственного обработчика, если иное не вытекает из закона.
11. АУДИТ
11.1 Ответственный обработчик вправе проверять соответствие Уполномоченного обработчика настоящему Договору, уведомив об этом за разумный срок.
11.2 Проверку может проводить Ответственный обработчик или уполномоченный им аудитор, в том числе на месте. Уполномоченный обработчик содействует аудиту и предоставляет возможность ознакомиться с соответствующими документами, системами и помещениями. Аудит проводится в рабочее время и таким образом, который необоснованно не мешает деятельности Уполномоченного обработчика, а информация, ставшая известной в ходе аудита, является конфиденциальной.
12. ПРЕКРАЩЕНИЕ ДОГОВОРА
12.1 При прекращении Договора Уполномоченный обработчик удаляет все персональные данные в течение [Срок удаления после окончания договора (в днях)] дн.
12.2 Обязанность удаления распространяется и на копии персональных данных, в том числе на копии, находящиеся во владении субобработчиков (ОРЗД ст. 28 ч. 3 п. g).
12.3 Обязанность удаления не распространяется на данные, хранение которых требуется правовым актом. Такие данные обрабатываются исключительно в целях хранения и по-прежнему защищены условиями Договора.
12.4 Уполномоченный обработчик по требованию Ответственного обработчика письменно подтверждает возврат или удаление персональных данных.
13. ОТВЕТСТВЕННОСТЬ
13.1 Стороны отвечают за ущерб, причинённый другой Стороне нарушением Договора, в соответствии с законом. Ответственность за ущерб, причинённый субъекту данных, определяется на основании статьи 82 ОРЗД.
13.2 Если Уполномоченный обработчик в нарушение ОРЗД сам определяет цели и средства обработки персональных данных, он рассматривается в отношении этой обработки как ответственный обработчик (ОРЗД ст. 28).
14. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ
14.1 Изменения и дополнения Договора оформляются в письменной форме или в форме, допускающей письменное воспроизведение, и вступают в силу после их подтверждения обеими Сторонами.
14.2 Обязанности по соблюдению конфиденциальности и защите данных действуют и после прекращения Договора до тех пор, пока во владении Уполномоченного обработчика находятся персональные данные Ответственного обработчика.
14.3 Если какое-либо положение Договора является или становится недействительным, это не влияет на действительность остальных положений.
15. ПРАВОВОЕ ОСНОВАНИЕ
15.1 К Договору применяются Общий регламент по защите данных и Закон Эстонии о защите персональных данных. Договор заключён для выполнения требований к содержанию договора с уполномоченным обработчиком, предусмотренных частью 3 статьи 28 ОРЗД.
15.2 Применимое к Договору право: [Применимое право].