Duomenų tvarkymo sutartis

Duomenų tvarkymo sutartis (DTS) pagal BDAR 28 straipsnį

Data: 2026 m. kovo 20 d.

Tarp

registruotu „Biscotti CMP“ klientu – toliau vadinamu „duomenų valdytoju“ arba „klientu“ –

ir

„Campcruisers GmbH“ Berliner Str. 21 B 14612 Falkensee Vokietijos Federacinė Respublika

Registravimo teismas: Potsdamo apylinkės teismas Registracijos numeris: HRB 40180 P PVM kodas: DE368000447 Mokesčių kodas: 29/249/36095 Atstovauja: Daniel Bosch (generalinis direktorius), Philipp André Marschall (prokuristas) El. paštas: [email protected] Telefonas: +49 3322 50703301 Darbo laikas: I–V, 09:00–17:00 val. – toliau vadinamas „duomenų tvarkytoju“ arba „teikėju“ –

– duomenų valdytojas ir duomenų tvarkytojas toliau kartu vadinami „šalimis“ –

Preambulė

Sveiki atvykę į „Campcruisers GmbH“! Labai džiaugiamės galėdami Jus pasveikinti kaip klientą. Skaidrumas, aukščiausi saugumo standartai ir partnerystė lygiateisiškumo pagrindu mums yra svarbiausia. Jūsų ir Jūsų svetainės lankytojų duomenų apsauga mums yra ne tik teisinė prievolė, bet ir pagrindinis mūsų įmonės kokybės įsipareigojimas.

Duomenų valdytojas naudoja duomenų tvarkytojo sukurtą, valdomą ir platinamą debesų kompiuterijos pagrindu veikiančią programinės įrangos kaip paslaugos (SaaS) sprendimą „Biscotti CMP“ (Consent Management Platform). Teikdamas šias SaaS paslaugas, kurios teikiamos domeno biscotti-cmp.com ir programėlės app.biscotti-cmp.com pagrindu, duomenų tvarkytojas tvarko asmens duomenis duomenų valdytojo vardu ir pagal jo nurodymus. Ši sutartis konkretizuoja šalių duomenų apsaugos įsipareigojimus, kylančius iš „Biscotti CMP“ naudojimo. Ji taikoma visoms veiklos rūšims, susijusioms su pagrindine sutartimi (SaaS paslaugų naudojimo sutartimi), kurių metu duomenų tvarkytojo darbuotojai arba jo įgalioti tretieji asmenys gali susidurti su duomenų valdytojo asmens duomenimis.

Ši sutartis yra būtina siekiant įvykdyti Reglamento (ES) 2016/679 (Bendrasis duomenų apsaugos reglamentas – BDAR), ypač BDAR 28 straipsnio, bei Vokietijos federalinio duomenų apsaugos įstatymo (BDSG) ir Telekomunikacijų bei skaitmeninių paslaugų duomenų apsaugos įstatymo (TDDDG) papildomų nuostatų reikalavimus.

[!PASTABA] Sutarties sudarymas elektroninėje komercijoje Ši sutartis sudaroma elektronine forma pagal BDAR 28 straipsnio 9 dalį. Registruojantis pas duomenų valdytoją, ji yra neatskiriama „Biscotti CMP“ bendrųjų verslo sąlygų (BVS) dalis. Sutartis sudaroma aiškiai išreiškus elektroninį sutikimą registracijos metu (pvz., paspaudus patvirtinimo mygtuką) ir jos galiojimui bei teisinei galiai nereikia jokio atskiro, ranka pasirašyto parašo.

§ 1 Duomenų tvarkymo objektas ir trukmė

1.1 Duomenų tvarkymo objektas Duomenų tvarkytojas teikia duomenų valdytojui paslaugas sutikimų valdymo (Consent Management) ir duomenų apsaugos teisės aktų laikymosi automatizavimo srityje. Asmens duomenų tvarkymo objektas nustatomas pagal šalių sudarytą pagrindinę sutartį dėl „Biscotti CMP“ naudojimo. Tvarkymas apima visus su duomenimis susijusius veiksmus, kurie yra būtini sutartyje numatytoms programinės įrangos funkcijoms užtikrinti. Tai apima, be kita ko, bet neapsiribojant:

• Sutikimo banerių (slapukų banerių) pateikimas ir pristatymas duomenų valdytojo tinklalapiuose.
• Duomenų valdytojo galutinių vartotojų (svetainės lankytojų) sutikimo sprendimų (sutikimas / atsisakymas) registravimą, saugojimą, tvarkymą ir dokumentavimą pagal BDAR 7 straipsnio 1 dalį ir TDDDG 25 straipsnio 1 dalį.
• AI pagrįstų slapukų skenavimų vykdymas atsakingojo asmens tinklalapiuose siekiant identifikuoti ir suskirstyti į kategorijas sekimo technologijas bei jas palyginti su IAB tiekėjų duomenų baze.
• Signalų apdorojimas pagal „Google Consent Mode v2“, IAB „Transparency & Consent Framework“ (TCF 2.4) bei „Global Privacy Control“ (GPC).
• Svetainės lankytojo jurisdikcijos nustatymas pagal IP adresą, siekiant dinamiškai rodyti teisės aktams atitinkančius reklaminės juostos variantus (pvz., BDAR, CCPA/CPRA).
• Teisinių tekstų (impresumo, privatumo politikos, slapukų politikos) generavimas naudojant dirbtinį intelektą per integruotą „Legal Suite“ asistentą, pasitelkiant „Alibaba Cloud Qwen“.
• Audito žurnalų (audit-logs), „Webhooks“ realaus laiko pranešimams, A/B testavimo funkcijų bei duomenų eksporto funkcijų teikimas, siekiant įgyvendinti duomenų subjektų teises pagal BDAR 15 straipsnį.
• Agentūros subpaskyrų valdymas pagal „Agency“ tarifą, įskaitant klientų valdymą ir „White Label“ prekės ženklo naudojimą.

1.2 Duomenų tvarkymo trukmė Šios duomenų tvarkymo sutarties galiojimo trukmė priklauso nuo pagrindinės sutarties dėl „Biscotti CMP“ naudojimo galiojimo trukmės. Sutartis įsigalioja registruojant duomenų valdytoją ir aktyvuojant sąskaitą (nemokamų tarifų atveju) arba patvirtinus mokėjimą (mokamų tarifų, pvz., „Starter“, „Growth“, „Business“, „Agency“, atveju). Ji automatiškai baigiasi pasibaigus pagrindinei sutarčiai, nepriklausomai nuo teisinio pagrindo (pvz., dėl įprasto nutraukimo, neeilinio nutraukimo ar sąskaitos panaikinimo). Pagrindinės sutarties įspėjimo terminas yra 1 diena iki atitinkamo atsiskaitymo laikotarpio pabaigos. Šios sutarties nuostatos, kurios dėl savo pobūdžio turi galioti ir po sutarties nutraukimo (visų pirma nuostatos dėl duomenų ištrinimo ir grąžinimo bei atsakomybės klausimai), lieka galioti ir po sutarties nutraukimo.

§ 2 Duomenų tvarkymo pobūdis ir tikslas

2.1 Duomenų tvarkymo pobūdis Duomenų tvarkymo pobūdis apima duomenų rinkimą, fiksavimą, organizavimą, sisteminimą, saugojimą, pritaikymą ar keitimą, išskaitymą, paiešką, naudojimą, atskleidimą perduodant, platinant ar kitaip teikiant, lyginimą ar susiejimą, apribojimą, ištrynimą ar sunaikinimą. Duomenų tvarkymas pirmiausia atliekamas automatizuotai duomenų tvarkytojo debesų infrastruktūroje (pvz., talpinama „Hetzner Online GmbH“ platformoje, serverių vieta paprastai yra Europos Sąjungoje).

2.2 Duomenų tvarkymo tikslas Duomenų tvarkymo tikslas yra išimtinai pagrindinėje sutartyje numatytų sutartinių įsipareigojimų vykdymas. Tai apima:

• Sutikimo įrodymą: sutikimo duomenų saugojimą, siekiant įvykdyti duomenų valdytojo atskaitomybės pareigą pagal BDAR 5 straipsnio 2 dalį kartu su 7 straipsnio 1 dalimi.
• Techninį teikimą: sutikimo reklaminio skydelio pateikimą ir atsakingojo asmens svetainės funkcionalumo užtikrinimą, atsižvelgiant į vartotojų pageidavimus.
• Atitikties analizė: automatinis duomenų valdytojo svetainių patikrinimas dėl duomenų apsaugos rizikos (slapukų skeneris).
• Teisinių tekstų rengimas: duomenų valdytojo įmonės ir kontaktinių duomenų tvarkymas, siekiant dirbtinio intelekto pagalba parengti individualizuotus teisinius tekstus.
• Atsiskaitymas ir sąskaitų tvarkymas: vartotojų sąskaitų tvarkymas, sesijų limitų priskyrimas (pvz., 5 000 sesijų nemokamame tarifo plane, 500 000 verslo tarifo plane) ir sesijų perkėlimų tvarkymas.
• Agentūros valdymas: galimybė valdyti iki 25 subpaskyrų „Agency“ tarifo planu, įskaitant perpardavėjų puslapių teikimą ir el. pašto siuntimo funkcijas.

Draudžiama tvarkyti duomenis duomenų tvarkytojo savais tikslais, ypač savo reklamos tikslais arba vartotojų profilių kūrimui, kurie viršija sutartyje numatytų paslaugų teikimą, išskyrus atvejus, kai yra aiškus įstatyminis leidimas arba atskiras sutikimas.

§ 3 Asmens duomenų rūšis

Vykdant duomenų tvarkymą tvarkomos šios asmens duomenų kategorijos. Duomenų valdytojas pats nustato tikslų duomenų apimtį naudodamas „Biscotti CMP“ ir konfigūruodamas programinę įrangą:

• Sutikimo duomenys: sprendimai (sutikimas / atsisakymas dėl įvairių kategorijų, pvz., esminių, funkcinių, analizės, rinkodaros, AI paslaugų), laiko žymos (sutikimo data ir tikslus laikas), unikalus identifikavimo numeris (sprendimo priskyrimui atitinkamam galutiniam įrenginiui / naršyklei naudojant pseudonimą).
• Techniniai duomenys: IP adresai (apdorojami pirmiausia vietovei pagrįstam jurisdikcijos nustatymui ir paprastai nedelsiant anonimizuojami / sutrumpinami, jei duomenų valdytojas nenustato kitokios konfigūracijos), naršyklės informacija, įrenginio informacija, vartotojo agento eilutės, sesijos duomenys.
• Slapukų ir sekimo duomenys: atsakingojo asmens tinklalapių nuskaitymo rezultatai, įskaitant rastus slapukus, vietinės atminties turinį, trečiųjų šalių sekimo įrankius ir jų klasifikaciją.
• AI generuojamas turinys: duomenys, kuriuos duomenų valdytojas įveda į „Legal Suite“ asistentą, siekdamas sugeneruoti teisinius tekstus (privatumo politiką, informaciją apie leidėją, bendrąsias sąlygas). Tai gali apimti įmonės duomenis, įgaliotųjų asmenų vardus ir pavardes, adresus bei konkrečius duomenų tvarkymo veiksmus, kurie tvarkomi per „Alibaba Cloud Qwen“ API.
• Kontaktiniai duomenys (paskyros savininkas): kliento arba paskyros savininko vardas ir pavardė, el. pašto adresas, įmonės pavadinimas, adresas, telefono numeris, PVM mokėtojo kodas.
• Naudojimo duomenys: valdymo skydo veikla, reklaminės juostos statistika (peržiūros, sąveikos, priėmimo rodikliai), atitikties ataskaitos, sąskaitos pakeitimų tikrinimo protokolai.
• Mokėjimo duomenys: atsiskaitymo informacija, apdorojama per mokėjimo paslaugų teikėją „Stripe“ (kredito kortelės duomenys yra tokenizuojami tiesiogiai „Stripe“ sistemoje ir nėra saugomi atviru tekstu pas duomenų tvarkytoją).

§ 4 Duomenų subjektų kategorijos

Duomenų tvarkymas susijęs su šiomis duomenų subjektų kategorijomis:

• Svetainės lankytojai (galutiniai vartotojai): fiziniai asmenys, kurie lankosi duomenų valdytojo svetainėse ir kurių sutikimo sprendimai yra prašomi, tvarkomi ir saugomi per „Biscotti CMP“ reklaminį skydelį.
• Klientai (paskyros savininkai): fiziniai asmenys, individualūs verslininkai arba juridinių asmenų atstovai, kurie, kaip duomenų tvarkytojo sutartiniai partneriai, yra užregistravę paskyrą „Biscotti CMP“.
• Komandos nariai ir darbuotojai: asmenys, kuriuos paskyros savininkas (duomenų valdytojas) pakvietė į „Biscotti CMP“ valdymo skydą kaip papildomus vartotojus, kad jie galėtų valdyti sistemą.
• Agentūrų klientai (subpaskyrų savininkai): agentūrų galutiniai klientai, kurie naudojasi „Agency“ tarifu ir kuriems buvo sukurtos subpaskyros.

§ 5 Duomenų valdytojo pareigos ir teisės

5.1 Duomenų tvarkymo teisėtumas Už užsakyto duomenų tvarkymo teisėtumo įvertinimą bei duomenų subjektų teisių užtikrinimą atsako tik duomenų valdytojas (BDAR 4 straipsnio 7 punktas). Duomenų valdytojas užtikrina, kad duomenų tvarkytojas turėtų veiksmingą teisinį pagrindą (pvz., sutikimą pagal BDAR 6 straipsnio 1 dalies a punktą arba teisėtą interesą pagal BDAR 6 straipsnio 1 dalies f punktą) asmens duomenų tvarkymui. Tai ypač taikoma „Biscotti CMP“ naudojimui sutikimams gauti pagal TDDDG 25 straipsnio 1 dalį.

5.2 Informavimo pareigos Duomenų valdytojas yra visiškai atsakingas už tai, kad duomenų subjektai (visų pirma svetainės lankytojai) būtų informuojami apie duomenų tvarkymą skaidriai, tiksliai ir laiku pagal BDAR 13 ir 14 straipsnius. Duomenų tvarkytojas šiam tikslui duomenų valdytojui pateikia būtiną techninę informaciją apie „Biscotti CMP“ veikimą bei pavyzdinius tekstus per „Legal Suite“ asistentą. Teisinis duomenų apsaugos deklaracijos patikrinimas ir įtraukimas yra duomenų valdytojo pareiga.

5.3 Agentūros ir perpardavėjų naudojimas Jei duomenų valdytojas naudoja „Agency“ tarifą ir kuria subpaskyras savo klientams, duomenų valdytojas lieka vienintelis sutarties partneris ir duomenų valdytojas duomenų apsaugos teisės atžvilgiu santykiuose su duomenų tvarkytoju. Duomenų valdytojas garantuoja, kad turi reikiamus sutartinius susitarimus (įskaitant savo duomenų tvarkymo sutartis) su savo galutiniais klientais. Jei duomenų valdytojas sukuria perpardavėjo puslapį arba naudoja savo el. pašto serverius savo domeno vardu, jis prisiima vienintelę atsakomybę už šią infrastruktūrą pagal duomenų apsaugos ir konkurencijos teisę. Duomenų tvarkytojas neprisiima jokios atsakomybės už tai.

5.4 Pranešimas apie klaidas Duomenų valdytojas privalo nedelsdamas ir išsamiai informuoti duomenų tvarkytoją, jei tikrindamas užsakymo rezultatus nustato klaidų ar pažeidimų, susijusių su duomenų apsaugos nuostatomis.

§ 6 Duomenų valdytojo nurodymų teisė

6.1 Nurodymų pobūdis ir apimtis Duomenų tvarkytojas tvarko asmens duomenis tik pagal duomenų valdytojo dokumentais pagrįstus nurodymus, išskyrus atvejus, kai jis yra įpareigotas tai daryti pagal jam taikomą Sąjungos ar valstybių narių teisę (BDAR 28 straipsnio 3 dalies a punktas). Tokiu atveju duomenų tvarkytojas prieš tvarkydamas duomenis informuoja duomenų valdytoją apie šį teisinį reikalavimą, išskyrus atvejus, kai atitinkama teisė draudžia tokį pranešimą dėl svarbaus viešojo intereso.

Pagrindinė sutartis ir šios AVV sudaro pradinius dokumentais pagrįstus nurodymus. Duomenų valdytojo naudojimasis „Biscotti CMP“ funkcijomis (pvz., reklaminio skydelio konfigūravimas, nuskaitymo paleidimas, tekstų generavimas) valdymo pulte laikomas dokumentais pagrįstu atskiru nurodymu.

6.2 Nurodymų forma Nurodymai paprastai gali būti teikiami per programinės įrangos (programėlės) vartotojo sąsają. Papildomi nurodymai turi būti teikiami raštu (pvz., elektroniniu paštu adresu [email protected]). Žodinius nurodymus duomenų valdytojas turi nedelsdamas patvirtinti raštu.

6.3 Abėjonės dėl nurodymų Duomenų tvarkytojas nedelsdamas informuoja duomenų valdytoją, jei mano, kad nurodymas pažeidžia BDAR, Vokietijos duomenų apsaugos įstatymą (BDSG) ar kitas Sąjungos ar valstybių narių duomenų apsaugos nuostatas. Duomenų tvarkytojas turi teisę sustabdyti atitinkamo nurodymo vykdymą, kol duomenų valdytojas jį patvirtins arba pakeis. Duomenų tvarkytojas turi teisę atsisakyti vykdyti akivaizdžiai neteisėtus nurodymus.

§ 7 Konfidencialumo įsipareigojimas

7.1 Darbuotojų įsipareigojimas Duomenų tvarkytojas patvirtina, kad visus asmenis, įgaliotus tvarkyti duomenų valdytojo asmens duomenis (darbuotojus, laisvai samdomus darbuotojus, organus), prieš pradedant veiklą įpareigojo laikytis konfidencialumo (BDAR 28 straipsnio 3 dalies b punktas) arba kad jiems taikomas atitinkamas įstatyminis konfidencialumo įpareigojimas. Šis įsipareigojimas apima ir duomenų slaptumą ir išlieka galiojantis net ir pasibaigus veiklai ar darbo santykiams.

7.2 Mokymas ir informavimas Duomenų tvarkytojas užtikrina, kad asmenys, įgalioti tvarkyti duomenis, būtų reguliariai mokomi ir informuojami apie duomenų apsaugos (BDAR, BDSG) ir duomenų saugumo nuostatas. Duomenų tvarkytojas, atstovaujamas vadovybės (Daniel Bosch, Philipp André Marschall), rūpinasi, kad įmonės kultūra atitiktų duomenų apsaugos reikalavimus.

7.3 Duomenų apsaugos pareigūnas Duomenų tvarkytojas, jei tai yra privaloma pagal § 38 str. 1 d. BDSG arba 37 straipsnį BDAR (pvz., kai paprastai yra ne mažiau kaip 20 asmenų, nuolat užsiimančių automatizuotu duomenų tvarkymu), paskyrė kompetentingą ir patikimą duomenų apsaugos pareigūną.

Jei nėra teisinės prievolės paskirti duomenų apsaugos pareigūną, duomenų tvarkytojas vis tiek užtikrina, kad vadovybė visapusiškai prižiūrėtų ir laikytųsi duomenų apsaugos įsipareigojimų.

8 straipsnis. Techninės ir organizacinės priemonės (TOM) pagal BDAR 32 straipsnį

8.1 Duomenų tvarkymo saugumo principas Duomenų tvarkytojas įsipareigoja, kad, atsižvelgdamas į technologijų lygį, įgyvendinimo išlaidas, duomenų tvarkymo pobūdį, apimtį, aplinkybių ir tvarkymo tikslų, taip pat skirtingos rizikos, susijusios su fizinių asmenų teisėmis ir laisvėmis, tikimybės ir sunkumo, ėmėsi tinkamų techninių ir organizacinių priemonių (TOM), siekdamas užtikrinti rizikai proporcingą apsaugos lygį (BDAR 32 straipsnis). Šios priemonės grindžiamos pripažintais IT saugumo standartais (pavyzdžiui, ISO 27001 ir SOC 2).

8.2 Konkrečios priemonės Duomenų tvarkytojas visų pirma įgyvendina šias priemones ir jas taiko visą sutarties galiojimo laikotarpį:

a) Pseudonimizavimas ir šifravimas (BDAR 32 straipsnio 1 dalies a punktas)

• Šifravimas perdavimo metu: Visi duomenų perdavimai tarp galutinio vartotojo, duomenų valdytojo ir „Biscotti CMP“ infrastruktūros privalomai vykdomi naudojant moderniausius šifravimo protokolus (TLS 1.2 arba TLS 1.3).
• Šifravimas neaktyviame režime: visos duomenų bazės ir laikmenos „Hetzner Online GmbH“ (serverių vieta – Nyderlandai) yra šifruojamos kietųjų diskų lygiu (AES-256).
• Pseudonimizavimas: sprendimai dėl sutikimo siejami ne su tikrais vardais, o su atsitiktinai sugeneruotu kriptografiniu identifikaciniu numeriu. IP adresai pagal numatytuosius nustatymus sutrumpinami / anonimizuojami, kai tik baigiamas priskyrimas pagal vietovę.

b) Konfidencialumas (prieigos, įėjimo ir prieigos kontrolė)

• Prieigos kontrolė: Naudojamų serverių fizinis saugumas užtikrinamas išorinio infrastruktūros paslaugų teikėjo (pvz., „Google Cloud“). Duomenų centrai yra griežtai kontroliuojami pagal pramonėje įprastas prieigos ir saugumo taisykles. „Campcruisers GmbH“ biuro patalpos yra apsaugotos tinkamais fiziniais prieigos apribojimais (pvz., saugumo spynomis).
• Prieigos kontrolė: prieiga prie duomenų tvarkytojo IT sistemų yra apsaugota taikant ribojančias slaptažodžių taisykles, daugiafaktorių autentifikavimą (MFA) atitinkamoms administracinėms prieigoms bei sesijų laiko limitus. Naudojamos tokios sistemos kaip „Cloudflare Turnstile“, siekiant apsaugoti prisijungimo bandymus nuo botų atakų.
• Prieigos kontrolė: taikomas minimalaus teisių suteikimo principas (Role-Based Access Control – RBAC). Duomenų tvarkytojo darbuotojai turi prieigą tik prie tų duomenų, kurie yra būtini jų atitinkamai užduočiai atlikti. Įvairių tarifų klientų duomenys yra logiškai atskirti vieni nuo kitų (daugiafunkciškumas).

c) vientisumas (perdavimo, įvedimo ir atskyrimo kontrolė)

• Perduodamų duomenų kontrolė: duomenys nėra perkeliami fizinėse laikmenose. Perdavimas vyksta tik per saugius tinklus.
• Įvedimo kontrolė: „Biscotti CMP“ turi išsamų tikrinimo protokolą (audito žurnalą). Bet kuriuo metu galima atsekti, kuris vartotojas (klientas, komandos narys, agentūra) kokiu laiku atliko kokius pakeitimus valdymo pulte (pvz., pakeitė reklaminio skydelio tekstus, pritaikė slapukų kategorijas).
• Atskyrimo kontrolė: duomenys, surinkti skirtingais tikslais, tvarkomi atskirai. Gamybinė, bandomoji ir kūrimo aplinkos yra griežtai izoliuotos viena nuo kitos.

d) Prieinamumas ir atsparumas (BDAR 32 straipsnio 1 dalies b ir c punktai)

• Prieinamumas: Duomenų tvarkytojas imasi pramonėje įprastų, tinkamų priemonių, siekdamas užtikrinti sistemų prieinamumą (hostingas „Hetzner Online GmbH“). Tačiau nėra garantuojamas joks aiškus SLA prieinamumas ir nėra visiško infrastruktūros dubliavimo.
• Apkrovos valdymas: Sistemos architektūra suprojektuota taip, kad numatomas sesijų srautas paprastai būtų patikimai apdorojamas. Tačiau nenaudojami specialūs apkrovos balansavimo ar automatinio mastelio keitimo mechanizmai (Auto-Scaling).
• Atkūrimas: Duomenų tvarkytojas imasi tinkamų priemonių (pvz., reguliariai atlieka duomenų bazių atsargines kopijas), kad techninio incidento atveju būtų galima atkurti duomenis. Tačiau nėra garantijos, kad duomenys bus atkurti be nuostolių, todėl duomenų valdytojas raginamas savo atsakomybe naudotis jam prieinamomis eksporto funkcijomis.

e) Reguliarių patikrinimų procedūros (BDAR 32 straipsnio 1 dalies d punktas)

• Duomenų tvarkytojas reguliariai viduje tikrina priimtų techninių ir organizacinių priemonių veiksmingumą.
• Yra vidiniai procesai, skirti reaguoti į saugumo incidentus (Incident-Response), siekiant galėtų reaguoti į galimus incidentus pagal teisės aktų reikalavimus.
• TOM nuolat tobulinamos.

8.3 TOM pritaikymas Techninės ir organizacinės priemonės priklauso nuo technikos pažangos ir tolesnio tobulinimo. Duomenų tvarkytojas turi teisę įgyvendinti alternatyvias adekvačias priemones, jeigu jos nepažeidžia nustatytų priemonių saugumo lygio. Apie esminius pakeitimus duomenų valdytojui turi būti pranešta raštu.

§ 9 Subrangovai

9.1 Subrangovų paskyrimas Duomenų valdytojas šiuo dokumentu suteikia duomenų tvarkytojui bendrą rašytinį leidimą (BDAR 28 straipsnio 2 dalis) pasitelkti kitus duomenų tvarkytojus (subrangovus). Duomenų tvarkytojas užtikrina, kad subrangovus atrinks kruopščiai ir sutartimi jiems nustatys tas pačias duomenų apsaugos pareigas, kurios yra nustatytos šioje sutartyje (BDAR 28 straipsnio 4 dalis).

9.2 Šiuo metu patvirtinti subrangovai Sudarius sutartį, šie subrangovai teikia „Biscotti CMP“ paslaugas ir yra laikomi duomenų valdytojo patvirtintais. Duomenų tvarkytojas užtikrino, kad, siekiant išlaikyti ES duomenų apsaugos lygį, JAV paslaugų teikėjų atveju sutarties šalimi veikia atitinkamas ES filialas:

9.3 Duomenų perdavimas į trečiąsias šalis Jei duomenų tvarkymas atliekamas pasitelkiant subrangovus už Europos Sąjungos (ES) arba Europos ekonominės erdvės (EEE) ribų (pvz., „Resend“ atveju), duomenų tvarkytojas užtikrina, kad būtų laikomasi BDAR 44 straipsnio ir tolesnių straipsnių nustatytų specialių reikalavimų. Paprastai tai daroma sudarant ES Komisijos parengtas standartines sutarties sąlygas (SCC) kartu su duomenų perdavimo poveikio vertinimu (Transfer Impact Assessment) ir įgyvendinant papildomas technines priemones (pvz., šifravimą).

9.4 Subrangovų keitimas arba naujų subrangovų įtraukimas Duomenų tvarkytojas informuos duomenų valdytoją apie kiekvieną numatomą pakeitimą, susijusį su subrangovų įtraukimu arba pakeitimu. Informacija pateikiama raštu (pvz., elektroniniu paštu adresu, nurodytu paskyroje) ne vėliau kaip 30 dienų prieš numatomą pakeitimą. Duomenų valdytojas gali nesutikti su pakeitimu dėl svarbių duomenų apsaugos priežasčių per 14 dienų nuo pranešimo gavimo. Jei nesutikimo nėra, pakeitimas laikomas patvirtintu. Jei prieštaravimas yra pagrįstas ir duomenų tvarkytojas negali jo pašalinti imdamasis pagrįstų priemonių, duomenų valdytojas turi teisę nutraukti pagrindinę sutartį ne eiline tvarka nuo pakeitimo įsigaliojimo dienos.

§ 10 Pagalba įgyvendinant duomenų subjektų teises

10.1 Pareiga teikti pagalbą Duomenų tvarkytojas, kiek įmanoma, tinkamomis techninėmis ir organizacinėmis priemonėmis padeda duomenų valdytojui vykdyti jo pareigą atsakyti į prašymus įgyvendinti BDAR III skyriuje nurodytas duomenų subjektų teises (BDAR 15–22 straipsniai) (BDAR 28 straipsnio 3 dalies e punktas).

10.2 Techninis įgyvendinimas „Biscotti CMP“ „Biscotti CMP“ siekia techniškai padėti duomenų valdytojui vykdyti jo pareigas:

• Teisė gauti informaciją (BDAR 15 straipsnis) ir teisė į duomenų perkeliamumą (BDAR 20 straipsnis): programinė įranga siūlo duomenų eksporto galimybes (pvz., CSV formatu), arba galima kreiptis į techninę pagalbą dėl konkrečių sutikimo ID eksporto, laikantis duomenų apsaugos reikalavimų.
• Teisė atšaukti sutikimą (BDAR 7 straipsnio 3 dalis): „Biscotti CMP“ sutikimo juosta galutiniams vartotojams suteikia galimybę peržiūrėti nustatymus ir bet kuriuo metu juos atšaukti.
• Teisė į duomenų ištrynimą (BDAR 17 straipsnis): surinkti duomenys gali būti ištrinti duomenų valdytojo naudojantis valdymo pulte pateiktomis funkcijomis arba pateikus pagrįstą prašymą techninės pagalbos tarnybai.

10.3 Užklausų perdavimas Jei duomenų subjektas savo teises įgyvendina tiesiogiai duomenų tvarkytojo atžvilgiu, pastarasis į užklausą neatsakys savarankiškai, o nedelsdamas nukreips duomenų subjektą į duomenų valdytoją, jeigu remiantis turimais duomenimis įmanoma nustatyti duomenų valdytoją. Duomenų tvarkytojas nedelsdamas perduoda užklausą duomenų valdytojui.

§ 11 Pagalba atliekant duomenų apsaugos poveikio vertinimą ir vykdant pranešimo pareigas

11.1 Duomenų apsaugos poveikio vertinimas (BDAR 35 straipsnis) Duomenų tvarkytojas, atsižvelgdamas į duomenų tvarkymo pobūdį ir jam turimą informaciją, padeda duomenų valdytojui atlikti duomenų apsaugos poveikio vertinimą (DSFA) pagal BDAR 35 straipsnį, taip pat, jei reikia, iš anksto konsultuotis su priežiūros institucija (BDAR 36 straipsnis).

11.2 Pranešimas apie asmens duomenų apsaugos pažeidimus Duomenų tvarkytojas privalo nedelsdamas, bet ne vėliau kaip per 48 valandas nuo sužinojimo, raštu pranešti duomenų valdytojui apie kiekvieną asmens duomenų apsaugos pažeidimą (duomenų saugumo incidentą), susijusį su pagal sutartį tvarkomais duomenimis.

§ 12 Duomenų ištrynimas ir grąžinimas

12.1 Ištrynimas pasibaigus sutarčiai Pasibaigus duomenų tvarkymo paslaugų teikimui (pagrindinės sutarties nutraukimo) duomenų tvarkytojas privalo, atsižvelgdamas į duomenų valdytojo pasirinkimą, ištrinti arba grąžinti visus asmens duomenis, jeigu pagal Sąjungos teisę ar valstybių narių teisę (pvz., komercinės ir mokesčių teisės saugojimo pareigos pagal HGB ir AO) nėra įpareigojimo saugoti asmens duomenis.

12.2 „Biscotti CMP“ standartinė procedūra Jei duomenų valdytojas nepateikia kitokių nurodymų, taikoma ši standartinė procedūra: duomenų valdytojas turi galimybę pats išsaugoti savo duomenis prieš sutarties pabaigą naudodamas eksporto funkciją (CSV). Įsigaliojus nutraukimui ir pasibaigus atsiskaitymo laikotarpiui, duomenų valdytojo paskyra deaktyvuojama. Paskyroje saugomi asmens duomenys saugomi 30 dienų pereinamuoju laikotarpiu (saugojimo laikotarpis), kad atsitiktinio paskyros lygio sumažinimo atveju būtų galima atkurti duomenis. Pasibaigus šioms 30 dienoms, duomenys negrįžtamai ir laikantis duomenų apsaugos reikalavimų ištrinami iš veiklos sistemų.

12.3 Ištrynimo patvirtinimas Duomenų tvarkytojas atsakingojo asmens aiškiu prašymu raštu patvirtina, kad duomenys buvo ištrinti laikantis duomenų apsaugos reikalavimų.

§ 13 Kontrolės teisės ir auditai

13.1 Teisė į patikrinimą Duomenų tvarkytojas pateikia duomenų valdytojui visą reikiamą informaciją, kad būtų galima įrodyti, jog laikomasi BDAR 28 straipsnyje ir šioje sutartyje nustatytų pareigų. Jis sudaro sąlygas atlikti patikrinimus – įskaitant inspektavimus –, kuriuos atlieka duomenų valdytojas arba jo paskirtas, konfidencialumo įsipareigojimą prisiėmęs tikrintojas, ir prisideda prie jų.

13.2 Audito atlikimas Siekiant nekelti pavojaus duomenų centrų saugumui ir kitų klientų duomenų konfidencialumui (klientų atskyrimas), šalys susitaria dėl tokios audito tvarkos:

• Duomenų valdytojas savo kontrolės teisę pirmiausia įgyvendins reikalaujant pateikti ir vertinant išsamius sertifikatus (pvz., ISO 27001) arba užpildant išsamius klausimynus apie IT saugumą.
• Jei šios informacijos nepakaktų, atsakingasis asmuo turi teisę atlikti patikrinimą vietoje „Campcruisers GmbH“ (Berliner Str. 21 B, 14612 Falkensee) patalpose.
• Apie patikrinimus vietoje turi būti pranešta iš anksto (paprastai ne vėliau kaip prieš 14 dienų).

§ 14 Atsakomybė ir žalos atlyginimas

14.1 Išorės santykiai (su duomenų subjektais) Už žalos atlyginimą duomenų valdytojas ir duomenų tvarkytojas atsako duomenų subjektui pagal BDAR 82 straipsnį. Duomenų tvarkytojas atsako už žalą, kilusią dėl duomenų tvarkymo, tik tuo atveju, jei jis nevykdė savo pareigų pagal BDAR arba pažeidė teisėtai duomenų valdytojo duotus nurodymus.

14.2 Vidiniai santykiai (tarp šalių) Vidiniuose santykiuose šalys atleidžiamos nuo atsakomybės, jei viena iš šalių įrodo, kad ji jokiu būdu nėra atsakinga už aplinkybes, dėl kurių atsirado žala.

14.3 Atsakomybės apribojimas pagal pagrindinę sutartį Papildomai taikomos pagrindinės sutarties (Bendrųjų sąlygų) atsakomybės nuostatos. Atsakomybė už nedidelį neatsargumą yra išimtinė, išskyrus atvejus, kai pažeidžiamos esminės sutarties pareigos (pagrindinės pareigos). Tokiu atveju atsakomybė apribojama sutarties pobūdžiui būdinga, numatoma žala.

§ 15 Baigiamosios nuostatos

15.1 Rašytinė forma ir pakeitimai Šios sutarties pakeitimai ir papildymai turi būti pateikti raštu (pvz., el. paštu). Duomenų tvarkytojas pasilieka teisę keisti šią sutartį, siekdamas ją pritaikyti prie pasikeitusių teisinių aplinkybių ar techninių pokyčių. Duomenų valdytojas apie pakeitimus informuojamas el. paštu.

15.2 Pirmenybė Jei atskiri šio duomenų tvarkymo sutarties nuostatai prieštarauja pagrindinės sutarties (Bendrųjų sąlygų) nuostatoms, pirmenybė teikiama šio duomenų tvarkymo sutarties nuostatoms, susijusioms su duomenų apsauga ir duomenų saugumu.

15.3 Atskiriamoji sąlyga Jeigu atskiros šios sutarties nuostatos yra arba tampa negaliojančios ar neįgyvendinamos, tai neturi įtakos likusių nuostatų galiojimui. Šalys įsipareigoja pakeisti negaliojančią ar neįgyvendinamą nuostatą galiojančia ir įgyvendinama nuostata.

15.4 Taikytina teisė ir jurisdikcija Ši sutartis reglamentuojama išimtinai Vokietijos Federacinės Respublikos teise, išskyrus JT pirkimo-pardavimo teisę. Išskirtinė jurisdikcija visų ginčų, kylančių iš šios sutarties ar susijusių su ja, atveju, kiek tai leidžiama pagal įstatymus, yra duomenų tvarkytojo buveinė (Falkensee). Sutarties kalba yra vokiečių.