а) „специални категории от данни“ означава данните, посочени в член 8 от Директива 95/46/ЕО;

б) „надзорен орган“ означава органът, посочен в член 28 от Директива 95/46/ЕО;

в) „износител на данни“ означава администраторът, който предава личните данни;

г) „вносител на данни“ означава лицето, обработващо данните, установено в трета страна, което приема да получава от износителя на данни лични данни, предназначени за обработване от името на износителя на данни след предаване съгласно неговите инструкции и при условията на настоящото решение, и което не е част от системата на трета страна, осигуряваща достатъчна степен на защита по смисъла на член 25, параграф 1 от Директива 95/46/ЕО;

д) „подизпълнител“ означава всяко лице, обработващо данни, наето от вносителя на данни или от всеки друг подизпълнител на вносителя на данни, което приема да получава от вносителя на данни или от всеки друг подизпълнител на вносителя на данни лични данни, предназначени за извършване на дейности по обработване изключително от името на износителя на данни след предаване съгласно неговите инструкции, при стандартните договорни клаузи, посочени в приложението, и условията на писмения договор за предаване за подизпълнение;

е) „приложимо право за защита на данните“ означава законодателството, защитаващо основните права и свободи на лицата, и по-специално правото на личен живот при обработването на лични данни, приложимо към администратор на данни в държавата-членка, в която е установен износителят на данни;

ж) „технически и организационни мерки за сигурност“ означава мерките, предназначени да защитават личните данни срещу неволно или незаконно унищожаване или неволно загубване, промяна, неразрешено разкриване или достъп, особено когато обработването предполага предаването на данни по мрежа, и срещу всяка друга незаконна форма на обработване.

а) „лични данни“, „специални категории от данни“, „обработване“, „администратор“, „лице, обработващо данни“, „физическо лице“ и „надзорен орган“ имат същото значение като в Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни ( 1 );

б) „износител на данни“ означава администраторът, който предава личните данни;

в) „вносител на данни“ означава лицето, обработващо данните, което приема да получава от износителя на данни лични данни, предназначени за обработване от името на износителя на данни след предаване съгласно неговите инструкции и при условията на клаузите, и което не е част от системата на трета страна, осигуряваща достатъчна степен на защита по смисъла на член 25, параграф 1 от Директива 95/46/ЕО;

г) „подизпълнител“ означава всяко лице, обработващо данни, наето от вносителя на данни или от всеки друг подизпълнител на вносителя на данни, което приема да получава от вносителя на данни или от всеки друг подизпълнител на вносителя на данни лични данни, предназначени за извършване на дейности по обработване изключително от името на износителя на данни след предаване съгласно неговите инструкции, при условията на клаузите и условията на писмения договор за предаване за подизпълнение;

д) „приложимо право за защита на данните“ означава законодателството, защитаващо основните права и свободи на лицата, и по-специално правото на личен живот при обработването на лични данни, приложимо към администратор на данни в държавата-членка, в която е установен износителят на данни;

е) „технически и организационни мерки за сигурност“ означава мерките, предназначени да защитават личните данни срещу неволно или незаконно унищожаване или неволно загубване, промяна, неразрешено разкриване или достъп, особено когато обработването предполага предаването на данни по мрежа, и срещу всяка друга незаконна форма на обработване.

1. Заинтересованото физическо лице може да иска прилагането спрямо износителя на данни на настоящата клауза, клауза 4, букви б)—и), клауза 5, букви а)—д) и букви ж)—й), клауза 6, параграфи 1 и 2, клауза 7, клауза 8, параграф 2 и клаузи 9—12, като трето лице бенефициер.

2. Заинтересованото физическо лице може да иска прилагането спрямо вносителя на данни на настоящата клауза, клауза 5, букви а)—д) и буква ж), клауза 6, клауза 7, клауза 8, параграф 2 и клаузи 9—12, в случай че износителят на данни е изчезнал фактически или е престанал да съществува юридически, освен ако правоприемник не е поел всички правни задължения на износителя на данни чрез договор или по закон, в резултат на което правата и задълженията на износителя на данни преминават върху правоприемника, в който случай физическото лице може да иска прилагането им спрямо правоприемника.

3. Заинтересованото физическо лице може да иска прилагането спрямо вносителя на данни на настоящата клауза, клауза 5, букви а)—д) и буква ж), клауза 6, клауза 7, клауза 8, параграф 2 и клаузи 9—12, в случай че износителят на данни е изчезнал фактически или е престанал да съществува юридически, освен ако правоприемник не е поел всички правни задължения на износителя на данни чрез договор или по закон, в резултат на което правата и задълженията на износителя на данни преминават върху правоприемника, в който случай физическото лице може да иска прилагането им спрямо правоприемника. Такава гражданска отговорност на подизпълнителя е ограничена до собствените му операции по обработване съгласно клаузите.

4. Страните не възразяват срещу това заинтересованото физическо лице да бъде представлявано от асоциация или друга организация, ако то изрично пожелае това и ако националното право го позволява.

а) обработването, включително самото предаване, на лични данни се извършва и ще продължава да се извършва съгласно съответните разпоредби на приложимото право за защита на данните (и ако е приложимо, съответните компетентни органи на държавата-членка, в която е установен износителят на данни, са били уведомени за обработването) и не нарушава съответните разпоредби на тази държава;

б) е инструктирал и по време на периода на услугите по обработване на личните данни ще инструктира вносителя на данни да обработва предаваните лични данни единствено от името на износителя на данни и в съответствие с приложимото право за защита на данните и клаузите;

в) вносителят на данни осигурява достатъчни гаранции по отношение на техническите и организационните мерки за сигурност, посочени в допълнение 2 към настоящия договор;

г) след оценка на изискванията на приложимото право за защита на данните мерките за сигурност са годни да защитават личните данни срещу неволно или незаконно унищожаване или неволно загубване, промяна, неразрешено разкриване или достъп, особено когато обработването предполага предаването на данни по мрежа, и срещу всяка друга незаконна форма на обработване и че тези мерки гарантират равнище на сигурност, адаптирано към рисковете, свързани с обработването и характера на данните, подлежащи на защита, като се имат предвид равнището на технологично развитие и разходите за тяхното изпълнение;

д) ще осигури спазването на мерките за сигурност;

е) ако предаването включва специални категории от данни, заинтересованото физическо лице е било информирано или ще бъде информирано преди или непосредствено след предаването, че неговите данни могат да бъдат предадени на трета страна, която не осигурява достатъчна степен на защита по смисъла на Директива 95/46/ЕО;

ж) ще изпрати всяко уведомление, получено от вносителя на данни или от подизпълнител съгласно клауза 5, буква б) и клауза 8, параграф 3, на надзорния орган за защита на данните, ако износителят на данни реши да продължи предаването или да отмени спирането;

з) при поискване ще предостави на заинтересованото физическо лице копие от клаузите, с изключение на допълнение 2 и кратко описание на мерките за сигурност, както и копие от всеки договор за предаване за подизпълнение, който следва да бъде сключен в съответствие с клаузите, освен ако клаузите или договорът съдържат търговска информация, като в такъв случай тази търговска информация може да бъде премахната;

и) в случай на предаване за подизпълнение, дейността по подизпълнение се извършва съгласно клауза 11 от подизпълнител, който предоставя поне същата степен на защита на личните данни и правата на заинтересованото физическо лице като вносителя на данни съгласно клаузите; и

й) ще осигури спазването на клауза 4, букви а)—и).

а) ще обработва личните данни единствено от името на износителя на данни и в съответствие с неговите инструкции и клаузите; ако не може да осигури такова съответствие по каквито и да е причини, той приема да информира своевременно износителя на данни за невъзможността да осигури съответствие, като в такъв случай износителят на данни може да спре предаването на данни и/или да прекрати договора;

б) няма причини да се смята, че приложимото за него законодателство го възпрепятства да изпълнява инструкциите, получени от износителя на данни, и задълженията си по договора и че в случай на промяна на това законодателство, която може да има съществени неблагоприятни последици върху гаранциите и задълженията, предвидени от клаузите, той своевременно ще уведоми износителя на данни за промяната без забавяне, като в такъв случай износителят на данни може да спре предаването на данни и/или да прекрати договора;

в) прилага техническите и организационните мерки за сигурност, посочени в допълнение 2, преди обработването на предаваните лични данни;

г) своевременно ще уведомява износителя на данни за:

i) всяко правнообвързващо искане за разкриване на личните данни от правоприлагащ орган, освен ако в закона не е предвидено друго, като например наказателноправна забрана за разкриване на информация с цел запазване на тайната на разследване от страна на правоприлагащ орган,

ii) всеки случай на неволен или неразрешен достъп, и

iii) всяко искане, получено пряко от заинтересованите физически лица, без да отговаря на такова искане, освен ако не му е било разрешено;

д) ще обработва своевременно и по необходимия начин всички запитвания от страна на износителя на данни, свързани с начина му на обработване на личните данни, подлежащи на предаване, и ще се съобразява с насоките на надзорния орган по отношение на обработването на предаваните данни;

е) по искане на износителя на данни ще предостави оборудването и средствата си за обработване на данни за проверка на обхванатите от клаузите дейности по обработване, която проверка се извършва от износителя на данни или от контролен орган, съставен от независими членове с необходимата професионална квалификация, който е длъжен да пази служебна тайна, избран от износителя на данни, ако е приложимо, със съгласието на надзорния орган;

ж) при поискване ще предостави на заинтересованото физическо лице копие от клаузите или всеки наличен договор за предаване за подизпълнение, освен ако клаузите или договорът съдържат търговска информация, като в такъв случай тази търговска информация може да бъде премахната, с изключение на допълнение 2, което ще бъде заменено от кратко описание на мерките за сигурност в случаите, в които заинтересованото физическо лице не може да получи копие от износителя на данни;

з) в случай на предаване за подизпълнение той предварително е информирал износителя на данни и е получил предварителното му писмено съгласие;

и) услугите по обработване от страна на подизпълнителя ще се извършват в съответствие с клауза 11;

й) ще изпрати своевременно на износителя на данни копие от всяко споразумение за предаване за подизпълнение, което сключи съгласно клаузите.

1. Страните се споразумяват, че всяко физическо лице, което претърпи вреда в резултат на нарушаване на задълженията, посочени в клауза 3 или в клауза 11 от страна на една от страните или на подизпълнител, има право да получи обезщетение от износителя на данни за претърпяната вреда.

2. Ако заинтересованото физическо лице не може да подаде иск за обезщетение в съответствие с параграф 1, произтичащ от нарушение от страна на вносителя на данни или негов подизпълнител на техните задължения, посочени в клауза 3 или в клауза 11, поради това, че износителят на данни е изчезнал фактически или е престанал да съществува юридически или е изпаднал в несъстоятелност, вносителят на данни приема, че заинтересованото физическо лице може да подаде иск срещу него, както ако той би бил износителя на данни, освен ако правоприемник не е поел всички правни задължения на износителя на данни чрез договор или по закон, в който случай физическото лице може да иска прилагането на правата си спрямо правоприемника.

3. Ако заинтересованото физическо лице не може да подаде срещу износителя на данни или срещу вносителя на данни иска, посочен в параграфи 1 и 2, произтичащ от нарушение от страна на подизпълнителя на неговите задължения, посочени в клауза 3 или в клауза 11, поради това, че износителят на данни и вносителят на данни са изчезнали фактически или са престанали да съществуват юридически или са изпаднали в несъстоятелност, подизпълнителят приема, че заинтересованото физическо лице може да подаде иск срещу него във връзка със собствените му операции по обработване съгласно клаузите, както ако той би бил износителят на данни или вносителят на данни, освен ако правоприемник не е поел всички правни задължения на износителя на данни или на вносителя на данни чрез договор или по закон, в който случай физическото лице може да иска прилагането на правата си спрямо правоприемника. Отговорността на подизпълнителя е ограничена до собствените му операции по обработване съгласно клаузите.

1. Вносителят на данни приема, че ако заинтересованото физическо лице се позове спрямо него на права като трето лице бенефициер и/или търси обезщетение за вреди съгласно настоящите клаузи, вносителят на данни ще приеме решението на заинтересованото физическо лице:

а) да предаде спора за медиация от страна на независимо лице или, ако е приложимо, от страна на надзорния орган;

б) да предаде спора на съдилищата в държавата-членка, в която е установен износителят на данни.

2. Страните се споразумяват, че изборът на заинтересованото физическо лице не засяга неговите материални или процесуални права да търси обезщетение в съответствие с други разпоредби на националното или международното право.

1. Износителят на данни приема да депозира копие от настоящия договор при надзорния орган, ако той го поиска или ако такова депозиране се изисква съгласно приложимото право за защита на данните.

2. Страните се споразумяват, че надзорният орган има право да извършва проверка на вносителя на данни и на всеки подизпълнител със същия обхват и при същите условия, които биха се прилагали за проверка на износителя на данни съгласно приложимото право за защита на данните.

3. Вносителят на данни своевременно информира износителя на данни за наличието на законодателство, приложимо спрямо него или негов подизпълнител, което възпрепятства извършването на проверка на вносителя на данни или на негов подизпълнител съгласно параграф 2. В такъв случай износителят на данни има право да предприеме мерките, предвидени в клауза 5, буква б).

1. Вносителят на данни няма да предава за подизпълнение операциите по обработване, извършвани от името на износителя на данни съгласно клаузите, без предварителното писмено съгласие на износителя на данни. Вносителят на данни предава за подизпълнение задълженията си съгласно клаузите със съгласието на износителя на данни само посредством писмено споразумение с подизпълнителя, което налага на подизпълнителя същите задължения като тези, наложени на вносителя на данни съгласно клаузите ( 3 ). Ако подизпълнителят не изпълни задълженията си за защита на данните по такова писмено споразумение, вносителят на данни носи пълна отговорност спрямо износителя на данни за изпълнението на задълженията на подизпълнителя по споразумението.

2. Предварителният писмен договор между вносителя на данни и подизпълнителя предвижда също така клауза в полза на трето лице, като тази от клауза 3, за случаи, в които заинтересованото физическо лице не може да подаде иска за обезщетение, посочен в клауза 6, параграф 1, срещу износителя на данни или срещу вносителя на данни поради това, че те са изчезнали фактически или са престанали да съществуват юридически или са изпаднали в несъстоятелност, и няма правоприемник, който да е поел всички правни задължения на износителя на данни или на вносителя на данни чрез договор или по закон. Такава гражданска отговорност на подизпълнителя е ограничена до собствените му операции по обработване съгласно клаузите.

3. Разпоредбите, свързани със защитата на данните при предаване за подизпълнение на договора, посочени в параграф 1, трябва да бъдат съобразени с правото на държавата-членка, в която е установен износителят на данни, а именно …

4. Износителят на данни поддържа списък със споразумения за предаване за подизпълнение, сключени съгласно клаузите и за които е изпратено уведомление от страна на вносителя на данни съгласно клауза 5, буква й), който списък се актуализира поне веднъж годишно. Надзорният орган за защита на данните на износителя на данни има достъп до списъка.

1. Страните се споразумяват, че при приключване на предоставянето на услуги по обработване на лични данни вносителят на данни и подизпълнителят, по избор на износителя на данни, връщат всички предадени лични данни и направените копия на износителя на данни или унищожават всички лични данни и удостоверяват този факт на износителя на данни, освен ако приложимото спрямо вносителя на данни законодателство го възпрепятства да върне или да унищожи всички или част от предадените лични данни. В такъв случай вносителят на данни гарантира, че той ще осигури поверителността на предадените лични данни и повече няма да ги обработва активно.

2. Вносителят на данни и подизпълнителят гарантират, че при поискване от износителя на данни и/или от надзорния орган те ще предоставят оборудването и средствата си за обработване на данни за проверка на мерките, посочени в параграф 1.

ИЗНОСИТЕЛ НА ДАННИ

Име: …

Подпис на упълномощено лице …

ВНОСИТЕЛ НА ДАННИ

Име: …

Подпис на упълномощено лице …

а) износителят на данни да уведоми своевременно вносителя на данни за иска; и

б) на вносителя на данни да бъде дадена възможност да си сътрудничи с износителя на данни при защитата и уреждането на иска ( 4 ).