Datuen Tratamendu Akordioa

Datuak Prozesatzeko Hitzarmena (DPH) GDPRaren 28. artikuluaren arabera

Data: 2026ko martxoaren 20a

artean

Biscotti CMPren bezero erregistratua – hemendik aurrera "Datuaren Kontrolatzailea" edo "Bezeroa" deituko zaiona –

eta

Campcruisers GmbH Berliner Str. 21 B 14612 Falkensee Alemaniako Errepublika Federala

Erregistratutako epaitegia: Potsdamko Epaitegi Lokala Erregistro-zenbakia: HRB 40180 P BEZ zenbakia: DE368000447 Zerga-zenbakia: 29/249/36095 Ordezkaria: Daniel Bosch (Zuzendari Nagusia), Philipp André Marschall (sinatzaile baimendua) Posta elektronikoa: [email protected] Telefonoa: +49 3322 50703301 Lanorduak: Astelehenetik ostiralera, 09:00–17:00 – hemendik aurrera "Datu Prozesatzailea" edo "Emalea" deituko zaiona –

– Datuaren Erresponsabla eta Datuaren Prozesatzailea, hemendik aurrera batera "Alderdi" deituko direnak –

Sarrera

Ongi etorri Campcruisers GmbH-era! Bezero gisa ongietorria emateaz pozten gara. Gardentasuna, segurtasun estandar altuenak eta lankidetza-oinarritutako hurbilketa baldintza berdinetan gure lehentasun nagusiak dira. Zure datuen eta zure webguneko bisitarien datuen babesa ez da guretzat betebehar juridiko soil bat, baizik eta gure enpresaren kalitate-konpromiso zentral bat.

Datu-kontrolatzaileak hodeian oinarritutako Software-as-a-Service (SaaS) "Biscotti CMP" (Consent Management Platform) soluzioa erabiltzen du, Datu-prozesadoreak garatu, erabili eta banatzen duena. SaaS zerbitzu hauek eskaintzeko testuinguruan, biscotti-cmp.com domeinuaren eta app.biscotti-cmp.com aplikazioaren bidez eskuragarri daudenak, prozesadoreak kontrolatzailearen izenean eta haren argibideei jarraituz prozesatzen ditu datu pertsonalak. Akordio honek Biscotti CMP erabiltzearen ondorioz alderdiek dituzten datu-babeserako betebeharrak ezartzen ditu. Hau aplikagarria da kontratu nagusiari (SaaS zerbitzuetarako erabiltzaile-akordioa) lotutako jarduera guztiei, non prozesatzailearen langileek edo prozesatzaileak kontrataturiko hirugarrenek kontrolatzailearen datu pertsonalekin harremanetan jar daitezkeen.

Akordio hau ezinbestekoa da (EB) 2016/679 Erregelamenduaren eskakizunak betetzeko (Datu Babeserako Erregelamendu Orokorra – GDPR), bereziki GDPRaren 28. artikulua, baita Federal Datuen Babeserako Legearen (BDSG) eta Telekomunikazio eta Zerbitzu Digitalen Datuen Babeserako Legearen (TDDDG) xedapen osagarriak ere.

[!OHARRA] Kontratuaren sinadura merkataritza elektronikoan Kontratu hau formatu elektronikoan sinatzen da, Datuak Babesteko Erregelamendu Orokorraren (DBEO) 28.9 artikuluari jarraituz. Datuaren tratatzaileak erregistratzean, Biscotti CMPren Oinarri eta Baldintza Orokor (OB) osagai integrala osatzen du. Hitzarmena erregistroan zehar emandako adostasun elektroniko adierazgarri baten bidez sinatzen da (adibidez, baieztapen botoi bat sakatuta) eta ez du balio eta indar juridikorako sinadura eskuzko berezirik behar.

§ 1 Prozesamenduaren gaia eta iraupena

1.1 Prozesamenduaren gaia Prozesadoreak kontrolatzaileari baimen-kudeaketako eta datuen babesaren betetze-automatizazioko zerbitzuak eskaintzen dizkio. Datu pertsonalen tratamenduaren gaia alderdiek Biscotti CMParen erabilerari buruz sinatutako kontratu nagusian jasotzen da. Tratamenduak kontratuan adostutako software-funtzionalitateak emateko beharrezko datu-eragiketa guztiak barne hartzen ditu. Hauek, bereziki baina ez soilik, honako hauek dira:

• Kontrolatzailearen webguneetan baimen-banner-ak (cookie-banner-ak) eskaintzea eta erakustea.
• Datu-kontrolatzailearen azken erabiltzaileek (webguneko bisitariek) emandako baimen-erabakien (onarpena/ukapena) bilketa, biltegiratzea, kudeaketa eta dokumentazioa, GDPRaren 7(1) artikuluari eta TDDDGaren 25(1) atalari jarraituz.
• Kontrolatzailearen webguneetan adimen artifizialaz lagundutako cookie-eskaneatzeak egitea, jarraipen-teknologiak identifikatu eta sailkatzeko eta IAB hornitzaileen datu-basearekin alderatzeko.
• Google Consent Mode v2, IAB Transparency & Consent Framework (TCF 2.4) eta Global Privacy Control (GPC) esparruan seinaleen prozesamendua.
• Webguneko bisitariaren jurisdikzioa IP helbidearen arabera zehaztea, legezkotasunari dagokion banner dinamikoen bertsioak erakusteko (adibidez, GDPR, CCPA/CPRA).
• Legal Suite Assistant integratuan, Alibaba Cloud Qwen erabiliz, adimen artifizial bidez lege-testuak sortzea (lege-oharra, pribatutasun-politika, cookie-politika).
• Auditoria-erregistroak, webhook-ak denbora-errealeko jakinarazpenetarako, A/B probetarako funtzionalitateak eta datuen esportazio-funtzionalitateak eskaintzea, Datuak Babesteko Erregelamendu Orokorraren (GDPR) 15. artikuluaren arabera datu-subjektuen eskubideak betetzeko.
• "Agency" tarifaren barnean agentzia azpikontuen kudeaketa, bezeroen kudeaketa eta white-label markaketa barne.

1.2 Prozesamenduaren iraupena Datu Prozesamendu Hitzarmen honen iraupena Biscotti CMParen erabilerarako oinarrizko kontratu nagusiaren iraupenean oinarritzen da. Hitzarmena indarrean sartzen da datu-arduraduna erregistratu eta kontua aktibatu denean (doako planetarako) edo ordainketa baieztatu denean (Starter, Growth, Business eta Agency bezalako ordainpeko planetarako). Hitzarmena automatikoki amaitzen da kontratu nagusia amaitzean, arrazoi juridikoaz harago (adibidez, amaiera arrunta, amaiera berezia edo kontuaren ezabatzea). Kontratu nagusirako jakinarazpen epea dagokion fakturazio-epearen amaieraren aurreko egun bat da. Kontratu honetako xedapenak, beren izaeragatik, amaieraren ondoren indarrean jarraitzeko asmoa dutenak (bereziki datuen ezabatze eta itzulerari buruzko xedapenak, baita erantzukizun-arauak ere), amaierak eraginik gabe jarraituko dute.

§ 2 Prozesamenduaren izaera eta helburua

2.1 Prozesamenduaren izaera Prozesamenduaren izaerak datuen bilketa, erregistroa, antolaketa, egituraketa, gordetzea, egokitzapena edo aldaketa, berreskuratzea, kontsulta, erabilera, hedapena (transmisio bidezko zabalkundea edo bestela eskuragarri jartzea), lotzea edo konbinatzea, mugatzea, ezabatzea edo suntsitzea barne hartzen ditu. Prozesamendua batez ere automatikoki egiten da datu-prozesatzailearen hodei-azpiegituraren barruan (adibidez, Hetzner Online GmbH-en ostatu hartuta, zerbitzariak normalean Europar Batasunean kokatuta).

2.2 Prozesamenduaren helburua Prozesamenduaren helburua kontratu nagusitik eratorritako betebehar kontraktuak betetzea soilik da. Honek honako hauek barne hartzen ditu:

• Baimenaren froga: baimen-datuak gordetzea, kontrolatzailearen erantzukizun-betebeharrak betetzeko, GDPRaren 5.2. eta 7.1. artikuluen arabera.
• Zerbitzu teknikoaren horniketa: baimen-banneraren erakustaldia eta kontrolatzailearen webgunearen funtzionaltasuna bermatzea, erabiltzaileen lehentasunak kontuan hartuta.
• Betetze-analisia: kontrolatzailearen webguneen datu-babeseko arriskuak automatikoki egiaztatzea (cookie eskaneatzailea).
• Lege-testuen idazketa: kontrolatzailearen enpresa- eta harremanetarako datuak prozesatzea adimen artifizialaren laguntzaz pertsonalizatutako lege-testuak sortzeko.
• Fakturazioa eta kontu-kudeaketa: Erabiltzaile-kontuen kudeaketa, saio-mugak ezartzea (adibidez, 5.000 saio Doako planan, 500.000 Enpresa planan) eta saioen transferentzien prozesamendua.
• Agentzia kudeaketa: Agentzia planaren barruan 25 azpikontu kudeatzeko aukera ematea, berrsaltzaileentzako orrialdeak eta posta elektroniko bidalketa funtzioak eskainiz.

Datuak prozesatzea datu-prozesatzailearen bere helburuetarako, bereziki bere publizitate-helburuetarako edo zerbitzuen kontratu-hornidura gainditzen duten erabiltzaile-profilak sortzeko, zorrotz debekatuta dago, baimen legal espresik edo bereiziko baimenik ezean.

§ 3 Datu pertsonal motak

Datu pertsonalen honako kategoria hauek prozesatzen dira datu-prozesamenduaren esparruan. Kontrolatzaileak datuen esparru zehatza zehazten du Biscotti CMParen erabileraren eta softwarearen konfigurazioaren bidez:

• Baimen-datuak: Erabakiak (Oinarrizko, Funtzional, Analitika, Marketin, Adimen Artifizialeko zerbitzuetarako baiezkoa/ez-baiezkoa), denbora-markak (baimenaren data eta zehazki ordu-txikia), identifikazio-zenbaki bakarra (erabakia gailu/arakatzaile bakoitzari pseudonimo bidez esleitzeko).
• Datu teknikoak: IP helbideak (batez ere jurisdikzioaren kokapenaren arabera identifikatzeko prozesatzen direnak eta, arau gisa, berehala anonimizatu/laburbildu egiten direnak, kontrolatzaileak bestela konfiguratu ezean), nabigatzailearen informazioa, gailuaren informazioa, user-agent kateak, saio-datuak.
• Cookie eta jarraipen-datuak: kontrolatzailearen webguneen eskaneatze-emaitzak, aurkitutako cookieak, biltegiratze lokaleko edukia, hirugarrenen jarraitzaileak eta haien sailkapena barne.
• Adimen artifizialak sortutako edukiak: arduradunak Legal Suite Assistant-era sartzen dituen datuak testu juridikoak sortzeko (pribatutasun-politika, ohar juridikoa, erabilera-baldintzak eta -epaiketak). Horiek enpresaren datuak, ordezkari baimendunen izenak, helbideak eta tratamendu-jarduera zehatzak izan ditzakete, eta Alibaba Cloud Model Studio (Qwen) APIaren bidez prozesatzen dira.
• Harremanetarako datuak (kontu-jabeak): izena eta abizenak, helbide elektronikoa, enpresaren izena, helbide postala, telefono-zenbakia, bezeroen edo kontu-jabeen BEZ erregistro-zenbakia.
• Erabilera-datuak: Dashboardeko jarduerak, banner-estatistikak (ikustaldiak, elkarreraginak, onarpen-tasak), betetze-txostenak, kontu-aldaketen auditoria-erregistroak.
• Ordainketa-datuak: fakturazio-informazioa Stripe ordainketa-zerbitzu-hornitzailea bidez prozesatua (kreditu-txartelen datuak zuzenean Stripe-k tokenizatzen ditu eta prozesatzaileak ez ditu testu arruntean gordetzen).

§ 4 Datu-subjektuen kategoriak

Prozesamendua honako datu-subjektu kategoria hauei dagozkie:

• Webguneko bisitariak (amaierako erabiltzaileak): kontrolatzailearen webguneak bisitatzen dituzten pertsona fisikoak, eta Biscotti CMP banner bidez eskatuta, prozesatuta eta gordeak diren baimen-erabakiak dituztenak.
• Bezeroak (kontu-jabeak): datu-prozesatzailearen kontratu-bazkide gisa Biscotti CMP-n kontu bat erregistratu duten pertsona fisikoak, banako merkataritzako enpresaburuak edo entitate juridikoen ordezkariak.
• Taldekideak eta langileak: kontu-jabeak (arduradunak) Biscotti CMP kontrol-panelera sistema kudeatzeko erabiltzaile gehigarri gisa gonbidatutako pertsonak.
• Agentzien bezeroak (azpikontu-jabeak): 'Agentzia' tarifaren bidezko agentzien azken bezeroak, eta haientzat azpikontuak sortu direnak.

§ 5 Kontrolatzailearen betebehar eta eskubideak

5.1 Prozesamenduaren legezkotasuna Kontrolatzaileak bakarrik du ardura prozesamendu enkargatuaren legezkotasuna ebaluatzeaz eta datu-subjektuen eskubideak babesteko neurriak hartzeaz (GDPRren 4. artikuluaren 7. paragrafoa). Kontrolatzaileak bermatu behar du prozesadoreak datu pertsonalak prozesatzeko oinarri juridiko baliodun bat duela (adibidez, GDPRaren 6.1(a) artikuluaren arabera emandako baimena edo GDPRaren 6.1(f) artikuluaren arabera dagoen interes legitimoa). Hau bereziki aplikagarria da Biscotti CMP erabiltzeari, TDDDG-ren 25.1. atalean xedatutakoaren arabera baimena lortzeko.

5.2 Informazio-betebeharrak Kontrolatzaileak erantzukizun osoa du datu-subjektuei (bereziki webgune-bisitariei) datu-prozesamenduari buruz modu gardenean, zehatzean eta garaiz informatzeko, GDPRaren 13. eta 14. artikuluen arabera. Horretarako, prozesadoreak kontrolatzaileari Biscotti CMP-aren funtzionalitateari buruzko informazio tekniko beharrezkoa eta testu ereduak emango dizkio Legal Suite Assistant bidez. Pribatutasun-politikaren berrikusketa juridikoa eta integrazioa kontrolatzailearen ardura dira.

5.3 Agentzia eta Berrsailegatzailearen Erabilera Kontrolatzaileak "Agentzia" tarifa erabiltzen badu eta bere bezeroentzat azpikontuak sortzen baditu, Kontrolatzailea izango da Prozesadorearekiko kontratu-bazkide bakarra eta datu-kontrolatzaile bakarra. Kontrolatzaileak bermatzen du bere azken bezeroekin beharrezko akordio kontraktualak (bere datu-prozesamendu akordioak barne) dituela. Kontrolatzaileak berrsaltzaile-gune bat sortzen badu edo bere domeinuaren pean bere posta-zerbitzari propioak erabiltzen baditu, datu-babesaren eta lehiaren legearen araberako erantzukizun osoa bere gain hartzen du azpiegitura horren gainean. Prozesatzaileak ez du inolako erantzukizunik onartzen alor horretan.

5.4 Akatsen jakinarazpena Datu-kontrolatzaileak datu-prozesatzaileari berehala eta osorik jakinarazi behar dio, prozesamenduaren emaitzak aztertzean datu-babeserako araudiekin lotutako akats edo irregularitateak aurkitzen baditu.

§ 6 Kontrolatzailearen argibideak emateko eskubidea

6.1 Argibideen izaera eta esparrua Prozesatzaileak datu pertsonalak tratatzaileak dokumentatutako argibideetan soilik prozesatuko ditu, salbu eta Batasuneko edo Estatu kideetako legeek hala eskatzen badute (GDPRaren 28.3.a artikulua). Halako kasu batean, prozesatzaileak prozesatu aurretik jakinaraziko dio kontrolatzaileari betebehar juridiko horri buruz, lege aplikagarriak interes publiko garrantzitsu baten izenean jakinarazpen hori debekatzen ez badu.

Kontratu nagusia eta GTC hauek hasierako dokumentatutako argibideak osatzen dituzte. Kontrolatzaileak Biscotti CMP-aren funtzioak (adibidez, banner-aren konfigurazioa, eskaneatze bat hastea, testuen sorkuntza) kontrol-paneleko erabileraren bidez erabiltzea dokumentatutako banakako argibide gisa hartuko da.

6.2 Aginduen forma Oro har, aginduak softwarearen erabiltzaile-interfazean (aplikazioa) bidez eman daitezke. Beste edozein agindu idatziz aurkeztu behar da (adibidez, [email protected] helbidera mezu elektroniko bat bidalita). Ahozko aginduak arduradunak idatziz berretsi behar ditu berehala.

6.3 Aginduei aurka egiteko eskubidea Prozesatzaileak kontrolatzaileari berehala jakinarazi beharko dio agindu batek GDPR, BDSG edo Batasuneko edo Estatu kideetako beste datu-babeseko xedapen batzuk urratzen dituela uste badu. Prozesatzaileak eskubidea du dagokion agindua bertan behera uzteko, kontrolatzaileak berretsi edo aldatu arte. Prozesadoreak legezkotasunaren aurkakoak diren aginduak ukatu ditzake.

§ 7 Isilpeko betebeharra

7.1 Langileen betebeharra Prozesadoreak berresten du kontrolatzailearen datu pertsonalak prozesatzeko baimendutako pertsona guztiak (langileak, autonomoak, erakundeak) konfidentzialtasun-betebeharrari lotu dituela beren jarduerak hasi aurretik (GDPRaren 28.3(b) artikulua) edo dagokien legezko konfidentzialtasun-betebehar egoki baten menpe daudela. Betebehar honek datu-isiltasuna ere barne hartzen du eta jarduera edo enplegu-harremana amaitutakoan ere indarrean jarraituko du.

7.2 Prestakuntza eta kontzientziazioa Prozesadoreak bermatuko du datuak prozesatzeko baimendutako pertsonak erregularki prestakuntza jasotzen dutela eta datuen babesari (GDPR, BDSG) eta datuen segurtasunari buruzko xedapenak ezagutzen dituztela. Prozesadoreak, zuzendaritzaren (Daniel Bosch, Philipp André Marschall) ordezkaritzapean, datuen babeserako araudiekin bat datorren enpresa-kultura bat bermatuko du.

7.3 Datuen Babeserako Ofiziala BDSGko 38.1 atalean edo GDPRko 37. artikuluan xedatutakoaren arabera derrigorrezkoa denean (adibidez, automatizatutako prozesamenduan etengabe aritzen diren gutxienez 20 pertsona daudenean), datu-prozesadoreak gaitasunez eta fidagarri den datuen babeserako ofizial bat izendatu du.

Datu Babeserako Ofizial bat izendatzeko betebehar legalik ez balego ere, datu prozesadoreak hala ere bermatuko du zuzendaritzak datu babeserako betebehar guztiak erabat zaintzen eta betetzen dituela.

8.1 Ataleko neurri tekniko eta antolaketa-neurriak (TOMak) GDPRaren 32. artikuluaren arabera

8.1 Prozesamenduaren segurtasunaren printzipioa Datu-prozesatzaileak hemen adierazten du, teknologia aurreratuen egoera, ezarpen-kostuak eta tratamenduaren izaera, irismena, kontuan hartuta, prozesamenduaren egoerak eta helburuak, baita pertsona fisikoen eskubide eta askatasunen aurkako arriskuaren probabilitate eta larritasun aldakorrak ere kontuan hartuta, datu-prozesadoreak arriskuari dagokion segurtasun-maila bermatzeko neurri tekniko eta antolaketa-neurri (TOMak) egokiak ezarri ditu (GDPRren 32. artikulua). Neurri hauek IT segurtasun estandar onartuenetan oinarritzen dira (hala nola ISO 27001 eta SOC 2).

8.2 Neurri zehatzak Prozesadoreak, bereziki, honako neurri hauek ezarri eta kontratuaren iraupen osoan zehar mantendu beharko ditu:

a) Pseudonimizazioa eta zifratzea (GDPRren 32.1(a) artikulua)

• Transmisioan enkriptatzea: Azken erabiltzailea, arduraduna eta Biscotti CMP azpiegitura arteko datu-transferentzia guztiak azken belaunaldiko enkriptazio-protokoloak (TLS 1.2 edo TLS 1.3) erabiliz egin behar dira.
• Gordetako zifratzea: Hetzner Online GmbHeko (zerbitzariaren kokapena: NL) datu-base eta biltegiratze-media guztiak disko gogorreko mailan zifratuta daude (AES-256).
• Pseudonimizazioa: Baimen-erabakiak ez dira benetako izenekin lotzen, baizik eta ausaz sortutako kriptografia-identifikazio zenbaki batekin. IP helbideak lehenetsita mozten/anonimizatzen dira kokapen-oinarritutako mapaketa amaitutakoan.

b) Konfidentzialitatea (sarbide-kontrola)

• Sarbide kontrola: Erabilitako zerbitzari fisikoen segurtasun fisikoa kanpoko azpiegitura-zerbitzu hornitzaileak (adibidez, Google Cloud) bermatzen du. Datuen zentroek industria-estandar zorrotzak betetzen dituzten sarbide eta segurtasun kontrolak dituzte. Campcruisers GmbH-ren bulego propioak sarbide fisiko egokiak dituzten murrizketekin (adibidez, segurtasun giltzak) babestuta daude.
• Sarbide-kontrola: Datuen prozesatzailearen IT sistemetarako sarbidea pasahitz-politika murriztaileek, administrazio-sarbide egokietarako autentifikazio anitzekoek (MFA) eta saio-denbora-mugek bermatzen dute. Cloudflare Turnstile bezalako sistemak erabiltzen dira saio-sarrera-saiakerak bot-erasoetatik babesteko.
• Sarbide-kontrola: Gutxieneko pribilegioaren printzipioa (Role-Based Access Control – RBAC) aplikatzen da. Datuen prozesatzailearen langileek beren eginkizunetarako beharrezkoa den datuetarako soilik dute sarbidea. Tarif desberdinetako bezeroen datuak logikoki bereizita daude elkarren artean (multi-tenancy).

c) Integritatea (argitaratze-, sarrera- eta segregazio-kontrolak)

• Datuak zabaltzeko kontrola: Datuak ez dira fisiko datu-eramaileetan garraiatzen. Transmisioa soilik sare seguruetan egiten da.
• Sarrera-kontrola: Biscotti CMPk auditoria-erregistro zabala du. Edozein unetan jarraitu daiteke zein erabiltzailek (bezeroa, taldekidea, agentzia) noiz egin dituen kontrol-paneleko aldaketak (adibidez, banner-testuen aldaketak, cookie-kategorien doikuntzak).
• Segregazio-kontrola: Helburu desberdinetarako biltzen den datu-multzoa bereizita prozesatzen da. Ekoizpen-, proba- eta garapen-inguruneak elkarrekiko zorrotz isolatuta daude.

d) Eskuragarritasuna eta erresilientzia (GDPRren 32.1(b) eta (c) artikuluak)

• Eskuragarritasuna: Prozesadoreak neurri egokiak hartzen ditu sektoreko estandarrekin bat eginez sistemak (Hetzner Online GmbH-en ostatuak) eskuragarri egotea bermatzeko. Hala ere, ez da inolako SLA eskuragarritasun-maila espliziturik bermatzen eta azpiegituraren erredundantzia osoa ez dago.
• Erresilientzia: Sistemaren arkitektura modu horretan diseinatu da, espero diren saio-bolumenak oro har modu fidagarrian prozesatzen direla bermatzeko. Hala ere, karga-orekatze espezifikorik edo eskala automatikorik (auto-eskalaketa) ez da erabiltzen.
• Berreskuragarritasuna: Prozesadoreak neurri egokiak hartzen ditu (adibidez, datu-baseen babeskopia erregularrak) datuak berreskuratzeko aukera izateko, gertakari tekniko baten kasuan. Hala ere, ez dago galerarik gabeko berreskurapena bermatuta, eta, beraz, arduradunak bere erantzukizunpean dituen esportazio-funtzioak erabili behar ditu.

e) Berrikusketa erregularrako prozedurak (GDPRaren 32.1(d) artikulua)

• Prozesatzaileak barnean hartutako neurri tekniko eta antolaketa-neurri horien eraginkortasuna aldian behin berrikusten du.
• Barne-istripu-erantzun prozesuak daude indarrean, legezko esparruaren barruan gerta litezkeen istripuak kudeatzeko.
• TOMak etengabeko hobekuntza-prozesu baten menpe daude.

8.3 TOMen egokitzapena Neurriak teknologiaren aurrerapenei eta garapen berriei egokitu behar zaizkie. Prozesadoreak neurri alternatibo egokiak ezarri ditzake, betiere segurtasun-maila zehaztutako neurrien maila baino txikiagoa ez bada. Aldaketa esanguratsuak idatziz jakinarazi behar zaizkio arduradunari.

§ 9 Azpiprozesadoreak

9.1 Azpiprozesatzaileen kontratazioa Kontrolatzaileak prozesatzaileari azpiprozesatzaile gehiago kontratatzeko idatzizko baimen orokorra ematen dio (GDPR-aren 28.2. artikulua). Datu-prozesatzaileak bermatuko du azpiprozesatzaileak arretaz hautatzen dituela eta haiei kontratu bidez honako Akordio honetan jasotako datu-babeserako betebehar berberak ezartzen dizkiela (GDPRaren 28.4. artikulua).

9.2 Uneko baimendutako azpiprozesadoreak Hitzarmen hau sinatzean, Biscotti CMP zerbitzuak emateko honako azpiprozesadore hauek kontratuta daude eta kontrolatzaileak baimenduta daudela jotzen da. Prozesadoreak bermatu du, AEBetako hornitzaileen kasuan, dagokion EBko sukurtsalak kontratu-partaide gisa jarduten duela EBko datu-babes maila mantentzeko:

9.3 Hirugarren herrialdeetara transferentzia Prozesamendua Europako Batasuneko (EB) edo Europako Ekonomia Eremuko (EEE) kanpoko azpiprozesadoreek egiten dutenean (adibidez, Resend kasuan), prozesadoreak bermatu behar du GDPRaren 44. eta ondorengo artikuluek ezartzen dituzten eskakizun zehatzak betetzen direla. Hori, oro har, Europako Batzordeak onartutako egungo Kontratu-klausula estandarrak (SCC) sinatuz, Transferentzia Eraginaren Ebaluazioarekin batera eta neurri tekniko osagarriak (adibidez, zifratzea) ezarriz lortzen da.

9.4 Azpimatrikulazio-prozesadore berrien aldaketa edo kontratazioa Prozesadoreak kontrolatzaileari jakinarazi beharko dio azpimatrikulazio-prozesadoreen kontratazioari edo ordezkatzeari buruzko edozein aldaketa asmoari. Informazioa idatziz emango da (adibidez, kontuan gordetako helbidera posta elektroniko bidez) aldaketa aurreikusitako eguna baino gutxienez 30 egun lehenago. Kontrolatzaileak aldaketari aurka egin diezaioke datuen babeserako legearekin lotutako arrazoizko oinarri sendoak egonda, jakinarazpena jaso eta 14 eguneko epean. Aurka egiterik ezean, aldaketa onartutzat joko da. Prozesadoreak neurri arrazoizkoak hartuta konpon ez dezakeen oinarritutako aurka-jartze baten kasuan, kontrolatzaileak eskubidea du kontratu nagusia berehala bertan behera uzteko, aldaketak indarrean sartzen den egunetik aurrera.

10. Datuen babes-eskubideetan laguntza

10.1 Laguntza emateko betebeharra Prozesadoreak, ahal den neurrian, lagunduko dio arduradunari neurri tekniko eta antolaketa egokiak hartuta, GDPRren III. kapituluan (15etik 22ra bitarteko artikuluak) aipatutako datu-subjektuen eskubideak erabiltzeko eskaerei erantzuteko duen betebeharra betetzeko (GDPRren 28(3)(e) artikulua).

10.2 Biscotti CMPn inplementazio teknikoa Biscotti CMPk kontrolatzaileari bere betebeharrak betetzeko laguntza teknikoa eskaintzea du helburu:

• Sarbide-eskubidea (GDPRren 15. artikulua) eta datuen eramangarritasun-eskubidea (GDPRren 20. artikulua): Softwareak datuak esportatzeko aukerak eskaintzen ditu (adibidez, CSV formatuan), edo baimen-ID zehatzen esportazioak laguntza-zerbitzuan eskatu daitezke, datuen babeserako araudiarekin bat etorriz.
• Baimena kentzeko eskubidea (GDPRren 7(3) artikulua): Biscotti CMPko baimen-banner-ak amaierako erabiltzaileei beren ezarpenak ikusteko eta baimena edozein unetan kentzeko aukera ematen die.
• Ezabatzeko eskubidea (GDPRren 17. artikulua): Bildu diren datuak kontrolatzaileak ezaba ditzake dashboard-ean eskaintzen diren funtzioak erabiliz edo, egiaztagarria den eskaera eginez, laguntza zerbitzuarekin harremanetan jarriz ezabatzeko antolatu daitezke.

10.3 Eskaeren helarazpena Datu-subjektu batek bere eskubideak prozesatzailearen aurka zuzenean aldarrikatzen baditu, prozesatzaileak ez dio eskaerari bere kabuz erantzungo, baizik eta berehala bideratuko du datu-subjektua arduradunaren esku, eskuragarri dauden datuen arabera datu-subjektua arduradunari atxikia dela identifikatu daitekeen heinean. Prozesatzaileak eskaera arduradunari atzerapenik gabe helaraziko dio.

§ 11 DPIAn laguntza eta txosten-betebeharrak

11.1 Datuen Babeserako Eragin Azterketa (GDPRren 35. artikulua) Prozesatzaileak arduradunari lagunduko dio, prozesamenduaren izaera eta bere esku dituen informazioa kontuan hartuta, Datuak Babesteko Eraginaren Ebaluazioa (DPIA) egiten, GDPRaren 35. artikuluari jarraituz, baita dagokion aurretiko kontsulta beharrezkoak diren gainbegiratze-agintaritzarekin egitean ere (GDPRaren 36. artikulua).

11.2 Datu pertsonalen urraketen jakinarazpena Prozesatzaileak derrigorrez jakinarazi behar dio arduradunari idatziz, arduradunaren izenean prozesatutako datuei eragiten dien edozein datu pertsonalen urraketa (datu-urraketa) gertatuz gero, atzerapenik gabe, eta, edonola ere, jakitun denetik 48 orduko epean.

§ 12 Datuak ezabatzea eta itzultzea

12.1 Kontratuaren amaieran datuak ezabatzea Prozesamendu-zerbitzuen hornidura amaitzean (kontratu nagusiaren amaiera), prozesatzaileak, kontrolatzailearen erabakiaren arabera, derrigorrez ezabatu edo itzuli beharko ditu datu pertsonal guztiak, betiere Batasuneko legeek edo Estatu kideetako legeek (adibidez, Alemaniako Merkataritza Kodearen (HGB) eta Alemaniako Zergen Kodearen (AO) arabera ezarritako merkataritza eta zerga arloko gordetze betebeharrak) datu pertsonalak gordetzeko betebeharrik ez badute ezartzen.

12.2 Biscotti CMPren prozesu estandarra Datu-kontrolatzaileak beste argibiderik ematen ez badu, honako prozesu estandarra aplikatuko da: Datu-kontrolatzaileak bere datuak kontratuaren amaiera baino lehen modu independentean babeskopiatzeko aukera du esportazio-funtzioa (CSV) erabiliz. Amaiera indarrean sartzen denean eta fakturazio-epea amaitzen denean, datu-kontrolatzailearen kontua desgaituta geratuko da. Kontuan gordetako datu pertsonalak 30 eguneko epe trantsizional batean (gordetzeko epea) gordetzen dira, ustekabeko jaitsiera baten ondorioz berreskuratzea ahalbidetzeko. Epe hori igarota, datuak ezeztatu egiten dira betirako eta datuen babeserako araudiari jarraituz ekoizpen-sistemetatik.

12.3 Ezabapenaren baieztapena Kontrolatzailearen eskaera esplizituaren aurrean, prozesatzaileak idatziz baieztatuko dio kontrolatzaileari datuak datuen babeserako araudiari jarraituz ezabatu direla.

§ 13 Ikuskapen eta auditoria-eskubideak

13.1 Auditoriako eskubidea Prozesadoreak kontrolatzaileari emango dio beharrezko informazio guztia, GDPRaren 28. artikuluan eta kontratu honetan ezarritako betebeharrak betetzen direla frogatzeko. Kontrolatzaileak edo hark izendatutako eta konfidencialtasun-betebeharrari lotutako auditoretzailearen eskutik egiten diren auditoriak –ikuskapenak barne– errazten eta laguntzen ditu.

13.2 Auditoriak egitea Datu-zentroen segurtasuna eta beste bezeroen datuen konfidentzialtasuna (bezeroen segregazioa) arriskuan ez jartzeko, alderdiek honako auditoria-prozedura adostu dute:

• Datuaren kontrolatzaileak bere ikuskapen-eskubidea nagusiki ziurtagiri egokiak (adibidez, ISO 27001) eskatuz eta ebaluatuz edo IT segurtasunari buruzko galdetegi zehatzak erabiliz gauzatuko du.
• Informazio hori nahikoa ez balitz, Datu Kontrolatzaileak Campcruisers GmbH-en (Berliner Str. 21 B, 14612 Falkensee) negozio-lokalean bertan ikuskapen bat egiteko eskubidea izango du.
• Tokiko ikuskapenak arrazoizko epean (normalean gutxienez 14 egunekoa) jakinarazi behar dira.

14. Erantzukizuna eta kalte-ordaina

14.1 Kanpoko erantzukizuna (datu-subjektuen aurrean) Kontrolatzailea eta prozesatzailea erantzukizuna izango dute datu-subjektuaren aurrean kalte-ordainak emateko, GDPRaren 82. artikuluaren arabera. Prozesatzaileak prozesatzearen ondoriozko kalteengatik bakarrik izango du erantzukizuna, baldin eta GDPRaren arabera dituen betebeharrak bete ez baditu edo kontrolatzailearen legezkotzat jotako aginduen kontra jokatu badu.

14.2 Barne-harremana (aldarteen artean) Barne-harremanetan, alderdiek erantzukizunetik salbuetsita egongo dira, baldin eta alderdi batek frogatzen badu inolaz ere ez duela eragin kaltea sortu duen egoeraren ardurarik.

14.3 Kontratu nagusiaren erantzukizunaren mugaketa Gainera, kontratu nagusiaren (Oinarri eta Baldintza Orokorrak) erantzukizun-xedapenak aplikatuko dira. Negligentzia arinerako erantzukizuna baztertuta dago, kontratu-betebehar materialak (betebehar kardinalak) urratzea ez bada. Kasu horretan, erantzukizuna kontratuarekin ohikoa den eta aurreikus daitekeen kalteetara mugatzen da.

§ 15 Xedapen bukaerakoak

15.1 Idatzizko forma eta aldaketak Hitzarmen honetako aldaketak eta gehigarriak idatziz egin behar dira (adibidez, posta elektroniko bidez). Datuen prozesatzaileak eskubidea du hitzarmena aldatzeko, egoera juridikoaren aldaketei edo garapen teknikoari egokitzeko. Datuen kontrolatzaileari jakinaraziko zaizkio edozein aldaketa posta elektroniko bidez.

15.2 Lehenetsiaren ordena Datu Prozesamendu Hitzarmen honetako xedapen indibidualek kontratu nagusiko xedapenekin (Oinarri eta Baldintza Orokorrak) talka egiten badute, Datu Prozesamendu Hitzarmen honetako xedapenak izango dute lehentasuna datuen babesari eta segurtasunari dagokienez.

15.3 Klausula zatikagarria Hitzarmen honetako edozein xedapen baliogabea edo betearazi ezin dena bada edo bihurtzen bada, horrek ez du gainerako xedapenen baliozkotasunean eragingo. Aldeek konpromisoa hartzen dute baliogabea edo betearazi ezin den xedapena baliodun eta betearazi daitekeen xedapen batekin ordezkatzeko.

15.4 Aplikagarri den Legea eta Jurisdikzioa Akordio hau Alemaniako Errepublika Federaleko legeek bakarrik arautuko dute, Nazio Batuen Nazioarteko Salmenta Kontratuetarako Hitzarmena baztertuta. Akordio honetatik edo honekin lotuta sortzen diren gatazka guztietarako jurisdikzio esklusiboa, legeak baimentzen duen neurrian, Datu Prozesatzailearen egoitza soziala (Falkensee) izango da. Akordioaren hizkuntza alemana da.