Andmetöötlusleping (DPA)

Andmetöötlusleping (DPA) vastavalt isikuandmete kaitse üldmääruse (GDPR) artiklile 28

Jõustub alates: 20. märts 2026

Vahel

Biscotti CMP registreeritud klient —edaspidi “Andmetöötleja” või “Klient”—

ja

Campcruisers GmbH Berliner Str. 21 B 14612 Falkensee Saksamaa Liitvabariik

Registreeritud kohus: Potsdami kohalik kohus Registrinumber: HRB 40180 P KMKR-number: DE368000447 Maksumaksja ID: 29/249/36095 Esindajad: Daniel Bosch (tegevjuht), Philipp André Marschall (volitatud allkirjastaja) E-post: [email protected] Telefon: +49 3322 50703301 Tööaeg: E-R, 9:00–17:00 – edaspidi „Töötleja“ või „Pakkuja“ –

– Andmetöötlejat ja Andmete Töötlejat nimetatakse edaspidi ka ühiselt „Poolteks“ –

Preambul

Tere tulemast Campcruisers GmbH-sse! Meil on hea meel tervitada teid kliendina. Läbipaistvus, kõrgeimad turvastandardid ja vastastikusel austusel põhinev partnerlus on meie peamised prioriteedid. Teie andmete ja teie veebisaidi külastajate andmete kaitsmine ei ole meie jaoks mitte ainult juriidiline kohustus, vaid ka meie ettevõtte keskne kvaliteedikohustus.

Andmetöötleja kasutab pilvepõhist tarkvara teenusena (SaaS) lahendust „Biscotti CMP“ (Nõusolekute haldamise platvorm), mida Andmete Töötleja arendab, opereerib ja levitab. Seoses nende SaaS-teenuste osutamisega, mis on kättesaadavad domeenil biscotti-cmp.com ja rakenduses app.biscotti-cmp.com, töötleb töötleja isikuandmeid töötleja nimel ja vastavalt tema juhistele. Käesolev leping täpsustab poolte andmekaitsealaseid kohustusi, mis tulenevad Biscotti CMP kasutamisest. See kehtib kõigi põhilepinguga (SaaS-teenuste kasutaja leping) seotud tegevuste kohta, mille käigus töötleja töötajad või töötleja tellimusel tegutsevad kolmandad isikud võivad kokku puutuda töötleja isikuandmetega.

Käesolev leping on kohustuslik, et täita määruse (EL) 2016/679 (isikuandmete kaitse üldmäärus – GDPR) nõudeid, eelkõige GDPR-i artiklit 28, samuti föderaalse andmekaitseseaduse (BDSG) ja telekommunikatsiooni ja digitaalteenuste andmekaitseseaduse (TDDDG) täiendavaid sätteid.

[!NOTE] Lepingu sõlmimine e-kaubanduses See leping sõlmitakse elektrooniliselt vastavalt isikuandmete kaitse üldmääruse (GDPR) artikli 28 lõikele 9. Andmetöötleja registreerimisel moodustab see Biscotti CMP üldtingimuste (GTC) lahutamatu osa. Leping sõlmitakse registreerimisel selgesõnalise elektroonilise nõusoleku kaudu (nt kinnitusnupul klõpsates) ja selle kehtivuseks ja õiguslikuks toimeks ei ole vaja eraldi käsitsi allkirja.

§ 1 Töötlemise objekt ja kestus

1.1 Töötlemise objekt Töötleja osutab töötlejale teenuseid nõusolekuhalduse ja andmekaitse nõuetele vastavuse automatiseerimise valdkondades. Isikuandmete töötlemise objekt tuleneb poolte vahel sõlmitud põhilepingust Biscotti CMP kasutamise kohta. Töötlemine hõlmab kõiki andmetega seotud toiminguid, mis on vajalikud lepingujärgsete tarkvara funktsionaalsuste pakkumiseks. Nende hulka kuuluvad eelkõige, kuid mitte ainult:

• Nõusoleku ribareklaamide (küpsisebännerite) pakkumine ja kuvamine töötleja veebisaitidel.
• Lõppkasutajate (veebisaidi külastajate) nõusolekuotsuste (aktsepteerimine/keeldumine) kogumine, salvestamine, haldamine ja dokumenteerimine vastavalt GDPR-i artikli 7 lõikele 1 ja TDDDG § 25 lõikele 1.
• AI-toega küpsiste skannimiste teostamine töötleja veebisaitidel, et tuvastada ja kategoriseerida jälgimistehnoloogiaid ning võrrelda neid IAB pakkuja andmebaasiga.
• Signaalide töötlemine Google Consent Mode v2, IAB Transparency & Consent Framework (TCF 2.3) ja Global Privacy Control (GPC) raames.
• Veebisaidi külastaja jurisdiktsiooni IP-põhine määramine õigusaktidega kooskõlas olevate ribareklaami variantide (nt GDPR, CCPA/CPRA) dünaamiliseks kuvamiseks.
• AI-toega õigustekstide (juriidiline teatis, privaatsuspoliitika, küpsistepoliitika) genereerimine integreeritud Legal Suite Assistendi kaudu, kasutades Google Gemini.
• Auditlogide, veebikonksude reaalajas teavituste jaoks, A/B testimise funktsionaalsuste ja andmete eksportimise funktsioonide pakkumine andmesubjekti õiguste täitmiseks vastavalt GDPR-i artiklile 15.
• Agentuuri alamkontode haldamine „Agency“ plaani raames, sealhulgas klientide haldamine ja valge sildi bränding.

1.2 Töötlemise kestus Käesoleva andmetöötluslepingu kestus põhineb Biscotti CMP kasutamise aluseks oleva põhilepingu kestusel. Leping jõustub andmetöötleja registreerimisel ja konto aktiveerimisel (tasuta plaanide puhul) või maksekinnituse saamisel (tasuliste plaanide puhul, nagu Starter, Growth, Business ja Agency). See lõpeb automaatselt põhilepingu lõppemisel, olenemata õiguslikust alusest (nt korralise ülesütlemise, erakorralise ülesütlemise või konto kustutamise kaudu). Põhilepingu etteteatamistähtaeg on 1 päev enne vastava arveldusperioodi lõppu. Käesoleva lepingu sätted, mis oma olemuselt on ette nähtud kehtima ka pärast lepingu lõppemist (eelkõige sätted andmete kustutamise ja tagastamise ning vastutuse kohta), jäävad lepingu lõppemisest sõltumatuks.

§ 2 Töötlemise iseloom ja eesmärk

2.1 Töötlemise iseloom Töötlemise iseloom hõlmab andmete kogumist, salvestamist, korraldamist, struktureerimist, säilitamist, kohandamist või muutmist, päringuid, konsulteerimist, kasutamist, edastamise teel avaldamist, levitamist või muul viisil kättesaadavaks tegemist, ühitamist või kombineerimist, piiramist, kustutamist või hävitamist. Töötlemine toimub peamiselt automatiseeritult andmete töötleja pilveinfrastruktuuris (nt hostitud Hetzner Online GmbHis, serverid asuvad tavaliselt Euroopa Liidus).

2.2 Töötlemise eesmärk Töötlemise eesmärk on eranditult täita põhilepingust tulenevaid lepingulisi kohustusi. See hõlmab:

• Nõusoleku tõendamine: Nõusolekuandmete säilitamine, et täita töötleja vastutuskohustusi vastavalt GDPR-i artikli 5 lõikele 2 koostoimes artikli 7 lõikega 1.
• Tehniline pakkumine: Nõusoleku ribareklaami kuvamine ja töötleja veebisaidi funktsionaalsuse tagamine, võttes arvesse kasutaja eelistusi.
• Vastavuse analüüs: Töötleja veebisaitide automatiseeritud ülevaatus andmekaitse riskide osas (küpsiseskanner).
• Õigustekstide loomine: Töötleja ettevõtte ja kontaktandmete töötlemine AI-põhiseks kohandatud õigustekstide loomiseks.
• Arveldamine ja kontohaldus: Kasutajakontode haldamine, seansilimiitide jaotamine (nt 5000 seanssi tasuta plaanis, 500 000 äriplaanis) ja seansside ülekannete töötlemine.
• Agentuuri haldamine: Võimalus hallata kuni 25 alamkontot agentuuri plaanis, sealhulgas edasimüüjalehtede ja e-posti saatmisfunktsioonide pakkumine.

Andmete töötlemine andmetöötleja enda eesmärkidel, eelkõige oma reklaamieesmärkidel või kasutajaprofiilide loomiseks, mis ületavad teenuste lepingulist pakkumist, on rangelt keelatud, välja arvatud juhul, kui on olemas selgesõnaline seaduslik luba või eraldi nõusolek.

§ 3 Isikuandmete tüüp

Andmetöötluse raames töödeldakse järgmisi isikuandmete kategooriaid. Töötleja määrab andmete täpse ulatuse Biscotti CMP kasutamise ja tarkvara enda konfiguratsiooni kaudu:

• Nõusolekuandmed: Otsused (nõusolek/keeldumine erinevate kategooriate puhul, nagu Vajalikud, Funktsionaalsed, Analüütilised, Turundus, AI teenused), ajatemplid (nõusoleku kuupäev ja täpne kellaaeg), unikaalne identifitseerimisnumber (otsuse pseudonüümsel määramisel vastavale seadmele/brauserile).
• Tehnilised andmed: IP-aadressid (töödeldakse peamiselt asukohapõhiseks jurisdiktsiooni tuvastamiseks ja reeglina kohe anonüümitakse/lühendatakse, välja arvatud juhul, kui töötleja konfigureerib teisiti), brauseri teave, seadme teave, kasutajaagendi stringid, seansiandmed.
• Küpsiste ja jälgijate andmed: Töötleja veebisaitide skannimistulemused, sealhulgas tuvastatud küpsised, kohaliku salvestusruumi sisu, kolmandate isikute jälgijad ja nende klassifikatsioon.
• AI-genereeritud sisu: Andmed, mille töötleja sisestab Legal Suite Assistanti õigustekstide (Privaatsuspoliitika, Juriidiline teatis, Tingimused) genereerimiseks. See võib hõlmata ettevõtte andmeid, volitatud esindajate nimesid, aadresse ja konkreetseid töötlemistegevusi, mida töödeldakse Google Gemini API kaudu.
• Kontaktandmed (kontohaldajad): Klientide või kontohaldajate ees- ja perekonnanimi, e-posti aadress, ettevõtte nimi, postiaadress, telefoninumber ja käibemaksu identifitseerimisnumber (KMKR-ID).
• Kasutusandmed: Juhtpaneeli tegevused, ribareklaamide statistika (vaatamised, interaktsioonid, vastuvõtusuhted), vastavusaruanded, kontomuudatuste auditlogid.
• Makseandmed: Arveldusteave, mida töödeldakse makseteenuse pakkuja Stripe kaudu (kusjuures krediitkaardi andmed tokenizeeritakse otse Stripe'i poolt ja töötleja ei salvesta neid lihttekstina).

§ 4 Andmesubjektide kategooriad

Töötlemine puudutab järgmisi andmesubjektide kategooriaid:

• Veebisaidi külastajad (lõppkasutajad): Füüsilised isikud, kes külastavad töötleja veebisaite ja kelle nõusolekuotsuseid küsitakse, töödeldakse ja salvestatakse Biscotti CMP ribareklaami kaudu.
• Kliendid (kontohaldajad): Füüsilised isikud, füüsilisest isikust ettevõtjad või juriidiliste isikute esindajad, kes on registreerinud konto Biscotti CMP-s andmetöötleja lepingupartneritena.
• Meeskonna liikmed ja töötajad: Isikud, kelle kontohaldur (töötleja) on kutsunud täiendavate kasutajatena Biscotti CMP juhtpaneelile süsteemi haldama.
• Agentuurikliendid (alamkontode omanikud): Agentuuride lõppkliendid, kes kasutavad „Agency“ plaani ja kellele on loodud alamkontod.

§ 5 Andmetöötleja kohustused ja õigused

5.1 Töötlemise õiguspärasus Töötleja vastutab ainuisikuliselt tellitud töötlemise õiguspärasuse hindamise ja andmesubjektide õiguste kaitsmise eest (GDPR artikkel 4 lõige 7). Töötleja tagab, et töötleja poolt isikuandmete töötlemiseks on olemas kehtiv õiguslik alus (nt nõusolek vastavalt GDPR-i artikli 6 lõike 1 punktile a või õigustatud huvi vastavalt GDPR-i artikli 6 lõike 1 punktile f). See kehtib eelkõige Biscotti CMP kasutamise kohta nõusoleku saamiseks vastavalt TDDDG § 25 lõikele 1.

5.2 Teavitamiskohustused Töötleja vastutab täielikult andmesubjektide (eelkõige veebisaidi külastajate) teavitamise eest andmetöötlusest läbipaistval, täpsel ja õigeaegselt vastavalt GDPR-i artiklitele 13 ja 14. Selleks annab töötleja töötlejale vajaliku tehnilise teabe Biscotti CMP funktsionaalsuse kohta ning näidistekstid Legal Suite Assistanti kaudu. Privaatsuspoliitika õiguslik läbivaatamine ja integreerimine on töötleja vastutusel.

5.3 Agentuuri ja edasimüüja kasutamine Kui töötleja kasutab „Agency“ plaani ja loob alamkontosid oma klientidele, jääb töötleja töötleja suhtes ainsaks lepingupartneriks ja andmetöötlejaks. Töötleja tagab, et tal on olemas vajalikud lepingulised kokkulepped (sealhulgas oma andmetöötluslepingud) oma lõppklientidega. Kui töötleja loob edasimüüja veebisaidi või kasutab oma e-posti servereid oma domeeni all, vastutab ta ainuisikuliselt andmekaitse- ja konkurentsiõiguse alusel selle infrastruktuuri eest. Töötleja ei võta selles osas vastutust.

5.4 Vigade teatamine Andmetöötleja peab viivitamatult ja täielikult teavitama Andmetöötlejat, kui ta töötlemise tulemuste ülevaatamisel avastab andmekaitseeeskirjadega seotud vigu või ebakorrapärasusi.

§ 6 Töötleja õigus anda juhiseid

6.1 Juhiste iseloom ja ulatus Töötleja töötleb isikuandmeid eranditult töötleja dokumenteeritud juhiste alusel, välja arvatud juhul, kui talt nõutakse seda Liidu või liikmesriigi õigusega, millele töötleja allub (GDPR-i artikli 28 lõike 3 punkt a). Sellisel juhul teavitab töötleja töötlejat sellest õiguslikust nõudest enne töötlemist, välja arvatud juhul, kui asjakohane õigusakt keelab sellise teavitamise olulise avaliku huvi tõttu.

Põhileping ja käesolevad üldtingimused moodustavad esialgsed dokumenteeritud juhised. Biscotti CMP funktsioonide (nt bänneri konfigureerimine, skannimise käivitamine, tekstide genereerimine) kasutamist töötleja poolt juhtpaneelis loetakse dokumenteeritud individuaalseks juhiseks.

6.2 Juhiste vorm Juhiseid võib üldjuhul anda tarkvara kasutajaliidese (rakenduse) kaudu. Kõik täiendavad juhised tuleb esitada kirjalikult (nt e-posti teel aadressile [email protected]). Suulised juhised peab töötleja viivitamatult kirjalikult kinnitama.

6.3 Vastuväited juhistele Töötleja teavitab töötlejat viivitamatult, kui ta usub, et juhis rikub GDPR-i, BDSG-d või muid Liidu või liikmesriikide andmekaitse eeskirju. Töötlejal on õigus peatada asjakohase juhise rakendamine, kuni töötleja selle kinnitab või muudab. Töötleja võib keelduda juhistest, mis on ilmselgelt ebaseaduslikud.

§ 7 Konfidentsiaalsuskohustus

7.1 Töötajate kohustus Töötleja kinnitab, et ta on kõik töötleja isikuandmeid töötlema volitatud isikud (töötajad, vabakutselised, organid) enne nende tegevuse algust sidunud konfidentsiaalsuskohustusega (GDPR-i artikli 28 lõike 3 punkt b) või et sellised isikud alluvad asjakohasele seadusjärgsele konfidentsiaalsuskohustusele. See kohustus hõlmab ka andmesaladust ja jääb kehtima ka pärast tegevuse või töösuhte lõppemist.

7.2 Koolitus ja teadlikkus Töötleja tagab, et andmete töötlemiseks volitatud isikutele antakse regulaarselt juhiseid ja nad on teadlikud andmekaitse (GDPR, BDSG) ja andmeturbe sätetest. Töötleja, keda esindab tema juhtkond (Daniel Bosch, Philipp André Marschall), tagab andmekaitse eeskirjadele vastava ettevõttekultuuri.

7.3 Andmekaitseametnik Töötleja on määranud pädeva ja usaldusväärse andmekaitseametniku, tingimusel et see on seadusega nõutav vastavalt BDSG § 38 lõikele 1 või GDPR-i artiklile 37 (nt kui vähemalt 20 isikut on püsivalt seotud automatiseeritud töötlemisega).

Kui andmekaitseametniku määramise seaduslikku kohustust ei ole, tagab andmetöötleja siiski, et juhtkond jälgib ja täidab andmekaitsekohustusi täielikult.

§ 8 Tehnilised ja organisatsioonilised meetmed (TOM-id) vastavalt GDPR-i artiklile 32

8.1 Töötlemise turvalisuse põhimõte Töötleja kinnitab käesolevaga, et võttes arvesse tehnika taset, rakendamise kulusid ning töötlemise laadi, ulatust, asjaolusid ja eesmärke, samuti füüsiliste isikute õigustele ja vabadustele tuleneva riski erinevat tõenäosust ja raskust, tagab ta riskile vastava turvalisuse taseme (GDPR artikkel 32). Need meetmed põhinevad tunnustatud IT-turvalisuse standarditel (nagu ISO 27001 ja SOC 2).

8.2 Konkreetsed meetmed Töötleja rakendab eelkõige järgmisi meetmeid ja säilitab neid kogu lepingu kehtivuse aja jooksul:

a) Pseudonümiseerimine ja krüpteerimine (GDPR-i artikli 32 lõike 1 punkt a)

• Edastamise ajal krüpteerimine: Kõik andmeedastused lõppkasutaja, töötleja ja Biscotti CMP infrastruktuuri vahel peavad kasutama tipptasemel krüpteerimisprotokolle (TLS 1.2 või TLS 1.3).
• Andmete krüpteerimine puhkeseisundis: Kõik Hetzner Online GmbHi (serveri asukoht: NL) andmebaasid ja salvestusmeediumid on ketta tasemel krüpteeritud (AES-256).
• Pseudonümiseerimine: Nõusolekuotsused ei ole seotud tegelike nimedega, vaid juhuslikult genereeritud krüptograafilise identifitseerimisnumbriga. IP-aadressid lühendatakse/anonümitakse vaikimisi niipea, kui asukohapõhine määramine on lõpule viidud.

b) Konfidentsiaalsus (juurdepääsu kontroll)

• Juurdepääsu kontroll: Kasutatavate serverite füüsilise turvalisuse tagab väline infrastruktuuriteenuse pakkuja (nt Google Cloud). Andmekeskustele kehtivad ranged valdkonnastandarditele vastavad juurdepääsu- ja turvameetmed. Campcruisers GmbH oma kontoriruumid on kaitstud asjakohaste füüsiliste juurdepääsupiirangutega (nt turvalukud).
• Juurdepääsu kontroll: Juurdepääs andmetöötleja IT-süsteemidele on tagatud piiravate paroolipoliitikate, mitmefaktorilise autentimisega (MFA) asjakohaste halduskontode puhul ja seansi aegumistega. Sisselogimiskatsete kaitsmiseks botirünnakute eest kasutatakse süsteeme nagu Cloudflare Turnstile.
• Juurdepääsu kontroll: Kehtib vähima privileegi põhimõte (rollipõhine juurdepääsukontroll – RBAC). Andmetöötleja töötajatel on juurdepääs ainult andmetele, mis on nende vastavate ülesannete täitmiseks rangelt vajalikud. Erinevate plaanide kliendiandmed on üksteisest loogiliselt eraldatud (mitme rentniku süsteem).

c) Terviklikkus (avalikustamise, sisendi ja eraldamise kontroll)

• Avalikustamise kontroll: Andmeid ei transpordita füüsilistel salvestusmeediumitel. Edastamine toimub eranditult turvaliste võrkude kaudu.
• Sisendi kontroll: Biscotti CMP-l on põhjalik auditilogi. Igakülgselt on võimalik jälgida, milline kasutaja (klient, meeskonnaliige, agentuur) tegi milliseid muudatusi juhtpaneelis millisel ajal (nt bänneri tekstide muutmine, küpsisekategooriate kohandamine).
• Eraldamise kontroll: Erinevatel eesmärkidel kogutud andmeid töödeldakse eraldi. Tootmis-, testi- ja arenduskeskkonnad on rangelt üksteisest isoleeritud.

d) Kättesaadavus ja vastupidavus (GDPR-i artikli 32 lõike 1 punktid b ja c)

• Kättesaadavus: Töötleja rakendab süsteemide kättesaadavuse tagamiseks tööstusstandarditele vastavaid asjakohaseid meetmeid (hostimine Hetzner Online GmbHis). Siiski ei ole garanteeritud selgesõnalist SLA kättesaadavust ja infrastruktuuril puudub täielik üleliigsus.
• Vastupidavus: Süsteemiarhitektuur on loodud nii, et oodatavad seansi mahud töödeldakse üldjuhul usaldusväärselt. Siiski ei kasutata spetsiaalseid koormuse tasakaalustamise ega automaatse skaleerimise mehhanisme (auto-scaling).
• Taastatavus: Töötleja rakendab asjakohaseid meetmeid (nt andmebaaside regulaarsed varukoopiad), et võimaldada andmete taastamist tehnilise intsidenti korral. Siiski ei ole kadudeta taastamise garantiid, mistõttu töötlejale soovitatakse kasutada talle kättesaadavaid ekspordifunktsioone omal vastutusel.

e) Regulaarse ülevaatamise protseduurid (GDPR-i artikli 32 lõike 1 punkt d)

• Töötleja vaatab regulaarselt läbi võetud tehniliste ja organisatsiooniliste meetmete tõhusust sisemiselt.
• Siseriiklikud intsidentide lahendamise protsessid on olemas, et käsitleda potentsiaalseid intsidente õigusraamistiku piires.
• TOM-id on pideva parendamise protsessi objektiks.

8.3 TOM-ide kohandamine Tehnilised ja organisatsioonilised meetmed alluvad tehnilisele arengule ja edasistele uuendustele. Töötlejal on õigus rakendada alternatiivseid piisavaid meetmeid, tingimusel et määratletud meetmete turvalisuse tase ei ole ohustatud. Olulised muudatused tuleb töötlejale kirjalikult teatada.

§ 9 Alltöötlejad

9.1 Alltöötlejate kaasamine Andmetöötleja annab käesolevaga Andmetöötlejale üldise kirjaliku loa (GDPR-i artikli 28 lõige 2) kaasata täiendavaid andmetöötlejaid (alltöötlejaid). Andmetöötleja tagab, et ta valib alltöötlejad hoolikalt ja allutab nad lepinguliselt samadele andmekaitsekohustustele, mis on sätestatud käesolevas lepingus (GDPR-i artikli 28 lõige 4).

9.2 Praegu volitatud alltöötlejad Lepingu sõlmimise ajal on Biscotti CMP teenuste osutamisel aktiivsed järgmised alltöötlejad ja neid peetakse Töötleja poolt volitatuks. Töötleja on taganud, et, USA pakkujate puhul tegutseb lepingupartnerina vastav ELi haru, et säilitada ELi andmekaitse tase:

9.3 Edastamine kolmandatesse riikidesse Kui töötlemist teostavad alltöötlejad väljaspool Euroopa Liitu (EL) või Euroopa Majanduspiirkonda (EMP) (nt Resend'i puhul), tagab töötleja, et täidetakse GDPR-i artikli 44 jj. konkreetsed nõuded. See saavutatakse üldjuhul Euroopa Komisjoni kehtivate standardsete lepingutingimuste (SCC) sõlmimisega koos edastamise mõjuhinnangu ja täiendavate tehniliste meetmete (nt krüpteerimine) rakendamisega.

9.4 Uute alltöötlejate muutmine või kaasamine Töötleja teavitab töötlejat igast kavatsetud muudatusest alltöötlejate kaasamisel või asendamisel. Teavitus tuleb esitada kirjalikult (nt e-posti teel kontol salvestatud aadressile) vähemalt 30 päeva enne kavandatud muudatust. Töötleja võib muudatusele vastu vaielda andmekaitseõigusega seotud kaalukal põhjusel 14 päeva jooksul alates teavituse saamisest. Kui vastuväidet ei esitata, loetakse muudatus heakskiidetuks. Põhjendatud vastuväite korral, mida töötleja ei saa mõistlike meetmetega lahendada, on töötlejal õigus põhileping erakorraliselt üles öelda alates muudatuse jõustumise kuupäevast.

§ 10 Andmesubjekti õiguste toetamine

10.1 Abistamiskohustus Töötleja abistab töötlejat võimaluste piires asjakohaste tehniliste ja organisatsiooniliste meetmetega, et täita töötleja kohustust vastata andmesubjektide õiguste kasutamise taotlustele, mis on sätestatud GDPR-i III peatükis (GDPR-i artiklid 15–22) (GDPR-i artikli 28 lõike 3 punkt e).

10.2 Tehniline rakendamine Biscotti CMP-s Biscotti CMP eesmärk on pakkuda töötlejale tehnilist tuge oma kohustuste täitmisel:

• Juurdepääsuõigus (GDPR artikkel 15) ja andmete teisaldatavuse õigus (GDPR artikkel 20): Tarkvara pakub andmete eksportimise võimalusi (nt CSV-failina) või konkreetsete nõusoleku ID-de eksporti saab taotleda toelt, järgides andmekaitse eeskirju.
• Nõusoleku tagasivõtmise õigus (GDPR artikkel 7 lõige 3): Biscotti CMP nõusoleku ribareklaam annab lõppkasutajatele võimaluse igal ajal oma seadeid vaadata ja nõusolek tagasi võtta.
• Kustutamisõigus (GDPR artikkel 17): Kogutud andmeid saab töötleja kustutada juhtpaneelil pakutavate funktsioonide abil või, tõendatava taotluse alusel, toega kustutada.

10.3 Taotluste edastamine Kui andmesubjekt esitab oma õigused otse töötleja vastu, ei vasta töötleja taotlusele iseseisvalt, vaid suunab andmesubjekti viivitamatult töötleja poole, tingimusel et andmesubjekt on olemasolevate andmete põhjal tuvastatav. Töötleja edastab taotluse töötlejale viivitamatult.

§ 11 Toetus DPIA-le ja aruandluskohustustele

11.1 Andmekaitse mõjuhindamine (GDPR artikkel 35) Töötleja abistab töötlejat, võttes arvesse töötlemise laadi ja talle kättesaadavat teavet, andmekaitse mõjuhindamise (DPIA) läbiviimisel vastavalt GDPR-i artiklile 35, samuti kõigi vajalike eelkonsultatsioonide puhul järelevalveasutusega (GDPR-i artikkel 36).

11.2 Isikuandmetega seotud rikkumiste teatamine Töötleja on kohustatud teatama töötlejale kirjalikult igast käesoleva lepingu alusel töödeldud andmeid mõjutavast isikuandmetega seotud rikkumisest (andmekaustusest) põhjendamatu viivituseta ja igal juhul hiljemalt 48 tunni jooksul pärast sellest teada saamist.

§ 12 Andmete kustutamine ja tagastamine

12.1 Kustutamine lepingu lõppemisel Pärast töötlemisteenuste osutamise lõpetamist (põhilepingu lõppemine) on töötleja kohustatud, töötleja valikul, kas kustutama või tagastama kõik isikuandmed, välja arvatud juhul, kui Liidu õiguse või liikmesriikide õiguse alusel on kohustus isikuandmeid säilitada (nt ärilised ja maksualased säilitamiskohustused Saksamaa äriseadustiku (HGB) ja Saksamaa maksuseadustiku (AO) alusel).

12.2 Biscotti CMP standardprotsess Kui Andmetöötleja ei anna teisi juhiseid, kehtib järgmine standardprotsess: Andmetöötlejal on võimalus varundada oma andmed iseseisvalt enne lepingu lõppu ekspordifunktsiooni (CSV) abil. Pärast lepingu lõppemist ja arveldusperioodi möödumist deaktiveeritakse Andmetöötleja konto. Kontole salvestatud isikuandmeid säilitatakse üleminekuperioodil 30 päeva (säilitusperiood), et võimaldada taastamist juhusliku allapoole minemise korral. Pärast nende 30 päeva möödumist kustutatakse andmed tagasiulatavalt ja andmekaitse eeskirju järgides tootmissüsteemidest.

12.3 Kustutamise kinnitus Töötleja selgesõnalisel taotlusel kinnitab töötleja töötlejale kirjalikult, et andmed on kustutatud kooskõlas andmekaitse eeskirjadega.

§ 13 Kontrolli- ja auditeerimisõigused

13.1 Auditeerimisõigus Töötleja esitab töötlejale kogu vajaliku teabe, et tõendada vastavust GDPR-i artiklis 28 ja käesolevas lepingus sätestatud kohustustele. Töötleja hõlbustab ja teeb koostööd auditite – sealhulgas kontrollidega –, mida viib läbi töötleja või töötleja määratud audiitor, kes on seotud konfidentsiaalsuskohustustega.

13.2 Auditite läbiviimine Selleks, et mitte ohustada andmekeskuste turvalisust ja teiste klientide andmete konfidentsiaalsust (klientide eraldamine), lepivad pooled auditite läbiviimisel kokku järgmises korras:

• Andmetöötleja kasutab oma kontrolliõigust peamiselt asjakohaste sertifikaatide (nt ISO 27001) taotlemise ja hindamise teel või üksikasjalike IT-turvalisuse küsimustike kaudu.
• Kui see teave osutub ebapiisavaks, on Andmetöötlejal õigus viia läbi kohapealne kontroll Campcruisers GmbH äripindadel (Berliner Str. 21 B, 14612 Falkensee).
• Kohapealsed kontrollid tuleb ette teatada mõistliku etteteatamisajaga (üldjuhul vähemalt 14 päeva).

§ 14 Vastutus ja kahjutasu

14.1 Välissuhted (andmesubjektide suhtes) Töötleja ja töötleja vastutavad andmesubjekti ees kahju hüvitamise eest vastavalt GDPR-i artiklile 82. Töötleja vastutab töötlemisest tuleneva kahju eest ainult siis, kui ta on rikkunud oma kohustusi GDPR-i alusel või on tegutsenud töötleja seaduslike juhiste vastaselt.

14.2 Sisesuhted (poolte vahel) Oma sisesuhetes vabastatakse pooled vastutusest, kui üks pool tõendab, et ta ei ole mingil moel vastutav kahju põhjustanud asjaolu eest.

14.3 Vastutuse piiramine põhilepingus Lisaks kohaldatakse põhlepingu (üldtingimuste) vastutussätteid. Vastutus kerge hooletuse eest on välistatud, välja arvatud juhul, kui see hõlmab oluliste lepinguliste kohustuste (kardinaalsete kohustuste) rikkumist. Sel juhul on vastutus piiratud ettenähtava ja lepingule iseloomuliku kahjuga.

§ 15 Lõppsätted

15.1 Kirjalik vorm ja muudatused Käesoleva lepingu muudatused ja täiendused peavad olema kirjalikud (nt e-posti teel). Andmetöötleja jätab endale õiguse käesolevat lepingut muuta, et kohandada seda õigusliku olukorra muutustele või tehnilistele arengutele. Andmetöötlejat teavitatakse igast muudatusest e-posti teel.

15.2 Järjestus Kui käesoleva andmetöötluslepingu üksikud sätted on vastuolus põhlepingu (tingimuste) sätetega, on andmekaitse ja andmeturbe osas ülimuslikud käesoleva andmetöötluslepingu sätted.

15.3 Lahutatavuse klausel Kui käesoleva lepingu üksikud sätted on või muutuvad kehtetuks või jõustamatuks, ei mõjuta see ülejäänud sätete kehtivust. Pooled kohustuvad asendama kehtetu või jõustamatu sätte kehtiva ja jõustatava sättega.

15.4 Kohaldatav õigus ja jurisdiktsioon Käesolevat lepingut reguleerivad eranditult Saksamaa Liitvabariigi seadused, välja arvatud ÜRO rahvusvahelise kaupade müügi lepingute konventsioon. Kõigi käesolevast lepingust tulenevate või sellega seotud vaidluste ainus kohtualluvus on, seadusega lubatud ulatuses, Andmetöötleja registreeritud asukoht (Falkensee). Lepingu keel on saksa keel.