Ftehim dwar l-Ipproċessar tad-Data (DPA)

Ftehim dwar l-Ipproċessar tad-Data (DPA) skont l-Artikolu 28 tal-GDPR

Effettiv minn: 20 ta' Marzu 2026

Bejn

il-klijent reġistrat ta' Biscotti CMP —minn hawn 'il quddiem imsejjaħ il-“Kontrollur tad-Data” jew “Klijent”—

u

Campcruisers GmbH Berliner Str. 21 B 14612 Falkensee Repubblika Federali tal-Ġermanja

Qorti reġistrata: Potsdam Local Court Numru tar-reġistrazzjoni: HRB 40180 P ID tal-VAT: DE368000447 ID tat-Taxxa: 29/249/36095 Rappreżentata minn: Daniel Bosch (CEO), Philipp André Marschall (Firmatarju Awtorizzat) Email: [email protected] Telefon: +49 3322 50703301 Ħinijiet tan-negozju: Mit-Tnejn sal-Ġimgħa, 9:00 AM – 5:00 PM – minn hawn 'il quddiem imsejjaħ il-“Proċessur” jew “Fornitur” –

– il-Kontrollur tad-Data u l-Proċessur tad-Data minn hawn 'il quddiem imsejħa wkoll b'mod konġunt il-“Partijiet” –

Preambolu

Merħba f'Campcruisers GmbH! Ninsabu ferħana li nilqgħuk bħala klijent. It-trasparenza, l-ogħla standards ta' sigurtà, u sħubija bbażata fuq rispett reċiproku huma l-prijoritajiet ewlenin tagħna. Il-protezzjoni tad-data tiegħek u tad-data tal-viżitaturi tal-websajt tiegħek mhijiex biss obbligu legali għalina, iżda wkoll impenn ċentrali ta' kwalità tal-kumpanija tagħna.

Il-Kontrollur tad-Data juża s-soluzzjoni cloud-based Software-as-a-Service (SaaS) “Biscotti CMP” (Pjattaforma għall-Ġestjoni tal-Kunsens), li hija żviluppata, operata u mqassma mill-Proċessur tad-Data. B'rabta mal-forniment ta' dawn is-servizzi SaaS, li huma disponibbli taħt id-dominju biscotti-cmp.com u l-applikazzjoni app.biscotti-cmp.com, il-proċessur jipproċessa data personali f'isem u skont l-istruzzjonijiet tal-kontrollur. Dan il-ftehim jispeċifika l-obbligi ta' protezzjoni tad-data tal-partijiet li jirriżultaw mill-użu ta' Biscotti CMP. Japplika għall-attivitajiet kollha relatati mal-ftehim prinċipali (ftehim tal-utent għas-servizzi SaaS) li fihom l-impjegati tal-proċessur jew partijiet terzi kkummissjonati mill-proċessur jistgħu jiġu f'kuntatt mad-data personali tal-kontrollur.

Dan il-ftehim huwa obbligatorju biex jintlaħqu r-rekwiżiti tar-Regolament (UE) 2016/679 (Regolament Ġenerali dwar il-Protezzjoni tad-Data – GDPR), b'mod partikolari l-Art. 28 GDPR, kif ukoll id-dispożizzjonijiet supplimentari tal-Att Federali dwar il-Protezzjoni tad-Data (BDSG) u l-Att dwar il-Protezzjoni tad-Data tas-Servizzi tat-Telekomunikazzjoni u Diġitali (TDDDG).

[!NOTA] Konklużjoni tal-Ftehim fil-Kummerċ Elettroniku Dan il-ftehim huwa konkluż f'format elettroniku skont l-Artikolu 28(9) tal-GDPR. Mar-reġistrazzjoni mill-kontrollur tad-data, dan jifforma parti integrali tat-Termini u Kundizzjonijiet Ġenerali (GTC) ta' Biscotti CMP. Il-kuntratt huwa konkluż permezz ta' kunsens elettroniku espress matul ir-reġistrazzjoni (eż., billi tikklikkja buttuna ta' konferma) u ma jeħtieġx firma separata bil-kitba biex ikun validu u legalment effettiv.

§ 1 Suġġett u Tul tal-Ipproċessar

1.1 Suġġett tal-Ipproċessar
Il-proċessur jipprovdi servizzi lill-kontrollur fl-oqsma tal-ġestjoni tal-kunsens u l-awtomazzjoni tal-konformità mal-protezzjoni tad-data. Is-suġġett tal-ipproċessar tad-data personali huwa derivat mill-kuntratt prinċipali konkluż bejn il-partijiet dwar l-użu ta' Biscotti CMP. L-ipproċessar jinkludi l-operazzjonijiet kollha relatati mad-data meħtieġa għall-forniment tal-funzjonalitajiet tas-software miftiehma bil-kuntratt. Dawn jinkludu, b'mod partikolari, iżda mhux limitati għal:

• Il-forniment u l-wiri ta' banners ta' kunsens (banners tal-cookies) fuq il-websajts tal-kontrollur.
• Il-ġbir, il-ħażna, il-ġestjoni u d-dokumentazzjoni tad-deċiżjonijiet tal-kunsens (aċċettazzjoni/ċaħda) mill-utenti aħħarija (viżitaturi tal-websajt) tal-kontrollur skont l-Art. 7(1) GDPR u § 25(1) TDDDG.
• It-twettiq ta' skans tal-cookies appoġġjati mill-AI fuq il-websajts tal-kontrollur biex jiġu identifikati u kklassifikati teknoloġiji ta' traċċar u mqabbla mad-database tal-fornituri tal-IAB.
• L-ipproċessar ta' sinjali fl-ambitu tal-Modalità tal-Kunsens ta' Google v2, il-Qafas ta' Trasparenza u Kunsens tal-IAB (TCF 2.3), u l-Kontroll Globali tal-Privatezza (GPC).
• Id-determinazzjoni bbażata fuq l-IP tal-ġurisdizzjoni tal-viżitatur tal-websajt għall-wiri dinamiku ta' varjanti ta' banners legalment konformi (eż., GDPR, CCPA/CPRA).
• Ġenerazzjoni ta' testi legali (avviż legali, politika dwar il-privatezza, politika dwar il-cookies) b'saħħa tal-AI permezz tal-Assistent integrat tal-Legal Suite bl-użu ta' Google Gemini.
• Il-forniment ta' zkuk tal-awditjar, webhooks għal notifiki f'ħin reali, funzjonalitajiet ta' A/B testing, u funzjonijiet ta' esportazzjoni tad-data biex jintlaħqu d-drittijiet tas-suġġetti tad-data skont l-Art. 15 GDPR.
• Il-ġestjoni ta' sub-kontijiet ta' aġenziji taħt il-pjan “Agency”, inkluż il-ġestjoni tal-klijenti u l-branding white-label.

1.2 Tul tal-Ipproċessar
It-terminu ta' dan il-Ftehim dwar l-Ipproċessar tad-Data huwa bbażat fuq it-terminu tal-ftehim prinċipali sottostanti dwar l-użu ta' Biscotti CMP. Il-ftehim jidħol fis-seħħ mar-reġistrazzjoni tal-kontrollur tad-data u l-attivazzjoni tal-kont (għal pjanijiet b'xejn) jew mal-konferma tal-ħlas (għal pjanijiet imħallsa bħal Starter, Growth, Business, u Agency). Jintemm awtomatikament mat-terminazzjoni tal-ftehim prinċipali, irrispettivament mill-bażi legali (eż., permezz ta' terminazzjoni ordinarja, terminazzjoni straordinarja, jew tħassir tal-kont). Il-perjodu ta' notifika għall-kuntratt prinċipali huwa ta' jum qabel it-tmiem tal-perjodu ta' fatturazzjoni rispettiv. Id-dispożizzjonijiet ta' dan il-kuntratt li, min-natura tagħhom, huma maħsuba biex jibqgħu fis-seħħ wara t-terminazzjoni (b'mod partikolari d-dispożizzjonijiet dwar it-tħassir u r-ritorn tad-data kif ukoll kwistjonijiet ta' responsabbiltà) jibqgħu mhux affettwati mit-terminazzjoni.

§ 2 Natura u Skop tal-Ipproċessar

2.1 Natura tal-Ipproċessar
In-natura tal-ipproċessar tinkludi l-ġbir, ir-reġistrazzjoni, l-organizzazzjoni, l-istrutturar, il-ħażna, l-adattament jew l-alterazzjoni, l-irkupru, il-konsultazzjoni, l-użu, id-divulgazzjoni permezz ta' trasmissjoni, it-tixrid jew it-tqegħid ieħor għad-dispożizzjoni, l-allinjament jew il-kombinazzjoni, ir-restrizzjoni, it-tħassir, jew il-qerda tad-data. L-ipproċessar huwa primarjament awtomatizzat fi ħdan l-infrastruttura cloud tal-proċessur tad-data (eż., ospitat fuq il-Hetzner Online GmbH, b'servers tipikament jinsabu fl-Unjoni Ewropea).

2.2 Skop tal-Ipproċessar
L-iskop tal-ipproċessar huwa esklussivament li jintlaħqu l-obbligi kuntrattwali li jirriżultaw mill-kuntratt prinċipali. Dan jinkludi:

• Prova ta' kunsens: Ħażna tad-data tal-kunsens biex jintlaħqu l-obbligi ta' rendikont tal-kontrollur skont l-Art. 5(2) flimkien mal-Art. 7(1) tal-GDPR.
• Forniment tekniku: Wiri tal-banner tal-kunsens u l-iżgurar tal-funzjonalità tal-websajt tal-kontrollur filwaqt li jitqiesu l-preferenzi tal-utent.
• Analiżi tal-konformità: Reviżjoni awtomatizzata tal-websajts tal-kontrollur għal riskji ta' protezzjoni tad-data (skanner tal-cookies).
• Ħolqien ta' test legali: Ipproċessar tad-data tal-kumpanija u l-kuntatt tal-kontrollur għall-ħolqien assistit mill-AI ta' testi legali personalizzati.
• Fatturazzjoni u ġestjoni tal-kont: Ġestjoni tal-kontijiet tal-utenti, allokazzjoni ta' limiti ta' sessjoni (eż., 5,000 sessjoni fil-pjan Free, 500,000 fil-pjan Business), u proċessar ta' trasferimenti ta' sessjoni.
• Ġestjoni tal-aġenzija: Li tippermetti l-ġestjoni sa 25 sub-kont fil-pjan Agency, inkluż il-forniment ta' paġni tar-reseller u funzjonijiet ta' tibgħat l-emails.

L-ipproċessar tad-data għall-iskopijiet tal-proċessur tad-data stess, b'mod partikolari għall-iskopijiet ta' reklamar tiegħu stess jew biex jinħolqu profili tal-utenti li jmorru lil hinn mill-forniment kuntrattwali tas-servizzi, huwa strettament projbit sakemm ma jkunx hemm permess legali espress jew kunsens separat.

§ 3 Tip ta' Data Personali

Il-kategoriji ta' data personali li ġejjin huma pproċessati fl-ambitu tal-ipproċessar tad-data. Il-kontrollur jiddetermina l-ambitu eżatt tad-data permezz tal-użu tiegħu ta' Biscotti CMP u l-konfigurazzjoni tas-software innifsu:

• Data tal-kunsens: Deċiżjonijiet (kunsens/rifjut għal diversi kategoriji bħal Essenzjali, Funzjonali, Analitika, Marketing, Servizzi tal-AI), timestamps (data u ħin eżatt tal-kunsens), numru ta' identifikazzjoni uniku (għall-assenjazzjoni psewdonima tad-deċiżjoni lill-apparat/browser rispettiv).
• Data teknika: Indirizzi IP (primarjament ipproċessati għall-identifikazzjoni tal-ġurisdizzjoni bbażata fuq il-lokalità u, bħala regola, immedjatament anonimizzati/mqassra sakemm il-kontrollur ma jikkonfigurax mod ieħor), informazzjoni tal-browser, informazzjoni tal-apparat, user-agent strings, data tas-sessjoni.
• Data tal-cookies u tat-trackers: Riżultati ta' skans tal-websajts tal-kontrollur, inklużi cookies misjuba, kontenuti ta' ħażna lokali, trackers ta' partijiet terzi, u l-klassifikazzjoni tagħhom.
• Kontenut iġġenerat mill-AI: Data li l-kontrollur idaħħal fil-Legal Suite Assistant biex jiġġenera testi legali (Politika dwar il-Privatezza, Avviż Legali, Termini u Kundizzjonijiet). Dan jista' jinkludi data tal-kumpanija, ismijiet ta' rappreżentanti awtorizzati, indirizzi, u attivitajiet speċifiċi ta' proċessar li huma pproċessati permezz tal-API ta' Google Gemini.
• Data ta' kuntatt (detenturi tal-kont): Isem u kunjom, indirizz elettroniku, isem il-kumpanija, indirizz postali, numru tat-telefon, u numru ta' identifikazzjoni tal-VAT (VAT ID) tal-klijenti jew detenturi tal-kont.
• Data tal-użu: Attivitajiet tal-dashboard, statistika tal-banners (veduti, interazzjonijiet, rati ta' aċċettazzjoni), rapporti ta' konformità, zkuk tal-awditjar ta' bidliet fil-kont.
• Data tal-ħlas: Informazzjoni tal-fatturazzjoni pproċessata permezz tal-fornitur tas-servizzi tal-ħlas Stripe (fejn id-data tal-kards tal-kreditu hija tokenizzata direttament minn Stripe u mhux maħżuna b'test ċar mill-proċessur).

§ 4 Kategoriji ta' Suġġetti tad-Data

L-ipproċessar jikkonċerna l-kategoriji ta' suġġetti tad-data li ġejjin:

• Viżitaturi tal-websajt (utenti aħħarija): Persuni fiżiċi li jżuru l-websajts tal-kontrollur u li d-deċiżjonijiet tal-kunsens tagħhom huma mitluba, ipproċessati, u maħżuna permezz tal-banner ta' Biscotti CMP.
• Klijenti (detenturi tal-kont): Persuni fiżiċi, intraprendituri individwali, jew rappreżentanti ta' entitajiet legali li rreġistraw kont ma' Biscotti CMP bħala sħab kuntrattwali tal-proċessur tad-data.
• Membri tat-tim u impjegati: Individwi li ġew mistiedna mid-detentur tal-kont (kontrollur) bħala utenti addizzjonali għad-dashboard ta' Biscotti CMP biex jimmaniġġjaw is-sistema.
• Klijenti ta' aġenziji (detenturi ta' sub-kontijiet): Klijenti aħħarija ta' aġenziji li jużaw il-pjan “Agency” u li għalihom inħolqu sub-kontijiet.

§ 5 Obbligi u Drittijiet tal-Kontrollur tad-Data

5.1 Legalità tal-Ipproċessar
Il-kontrollur huwa unikament responsabbli biex jivvaluta l-legalità tal-ipproċessar ikkummissjonat u biex jissalvagwardja d-drittijiet tas-suġġetti tad-data (Art. 4(7) GDPR). Il-kontrollur jiżgura li hemm bażi legali valida (eż., kunsens skont l-Art. 6(1)(a) GDPR jew interess leġittimu skont l-Art. 6(1)(f) GDPR) għall-ipproċessar tad-data personali mill-proċessur. Dan japplika b'mod partikolari għall-użu ta' Biscotti CMP biex jinkiseb kunsens skont § 25(1) TDDDG.

5.2 Obbligi ta' Informazzjoni
Il-kontrollur huwa kompletament responsabbli biex jinforma lis-suġġetti tad-data (b'mod partikolari lill-viżitaturi tal-websajt) dwar l-ipproċessar tad-data b'mod trasparenti, preċiż, u f'waqtu skont l-Artikoli 13 u 14 tal-GDPR. Għal dan il-għan, il-proċessur jipprovdi lill-kontrollur l-informazzjoni teknika meħtieġa dwar il-funzjonalità ta' Biscotti CMP kif ukoll testi kampjun permezz tal-Legal Suite Assistant. Ir-reviżjoni legali u l-integrazzjoni tal-politika dwar il-privatezza huma r-responsabbiltà tal-kontrollur.

5.3 Użu tal-Aġenziji u r-Resellers
Jekk il-kontrollur juża l-pjan “Agency” u joħloq sub-kontijiet għall-klijenti tiegħu stess, il-kontrollur jibqa' s-sieħeb kuntrattwali uniku u l-kontrollur tad-data b'relazzjoni mal-proċessur. Il-kontrollur jiggarantixxi li għandu l-ftehimiet kuntrattwali meħtieġa (inklużi l-ftehimiet tiegħu stess dwar l-ipproċessar tad-data) fis-seħħ mal-klijenti aħħarija tiegħu. Jekk il-kontrollur jistabbilixxi sit ta' reseller jew juża s-servers tal-email tiegħu stess taħt id-dominju tiegħu stess, huwa jġorr ir-responsabbiltà unika taħt il-liġi dwar il-protezzjoni tad-data u l-kompetizzjoni għal din l-infrastruttura. Il-proċessur ma jassumi ebda responsabbiltà f'dan ir-rigward.

5.4 Rappurtar tal-Żbalji
Il-Kontrollur tad-Data għandu jinforma immedjatament u bis-sħiħ lill-Proċessur tad-Data jekk, meta jirrevedi r-riżultati tal-ipproċessar, jiskopri żbalji jew irregolaritajiet fir-rigward tar-regolamenti dwar il-protezzjoni tad-data.

§ 6 Dritt tal-Kontrollur li Joħroġ Istruzzjonijiet

6.1 Natura u Ambitu tal-Istruzzjonijiet
Il-proċessur għandu jipproċessa data personali esklussivament fuq l-istruzzjonijiet dokumentati tal-kontrollur, sakemm ma jkunx meħtieġ li jagħmel dan mil-liġi tal-Unjoni jew tal-Istat Membru li għaliha huwa suġġett il-proċessur (Art. 28(3)(a) GDPR). F'tali każ, il-proċessur għandu jinforma lill-kontrollur dwar dan ir-rekwiżit legali qabel l-ipproċessar, sakemm il-liġi rilevanti ma tipprojbixxix tali notifika minħabba interess pubbliku importanti.

Il-kuntratt prinċipali u dawn it-GTC jikkostitwixxu l-istruzzjonijiet dokumentati inizjali. L-użu tal-funzjonijiet ta' Biscotti CMP (eż., il-konfigurazzjoni tal-banner, il-bidu ta' skan, il-ġenerazzjoni ta' testi) mill-kontrollur fid-dashboard huwa kkunsidrat bħala istruzzjoni individwali dokumentata.

6.2 Forma tal-Istruzzjonijiet
L-istruzzjonijiet jistgħu ġeneralment jinħarġu permezz tal-interface tal-utent tas-software (applikazzjoni). Kwalunkwe istruzzjonijiet addizzjonali għandhom jingħataw bil-miktub (eż., permezz ta' email lil [email protected]). L-istruzzjonijiet verbali għandhom jiġu kkonfermati bil-miktub mill-kontrollur mingħajr dewmien.

6.3 Oġġezzjonijiet għall-Istruzzjonijiet
Il-proċessur għandu jinforma lill-kontrollur immedjatament jekk jemmen li istruzzjoni tikser il-GDPR, il-BDSG, jew regolamenti oħra dwar il-protezzjoni tad-data tal-Unjoni jew tal-Istati Membri. Il-proċessur huwa intitolat li jissospendi l-implimentazzjoni tal-istruzzjoni rilevanti sakemm tiġi kkonfermata jew emendata mill-kontrollur. Il-proċessur jista' jirrifjuta istruzzjonijiet li huma manifestament illegali.

§ 7 Obbligu ta' Kunfidenzjalità

7.1 Obbligu tal-Impjegati
Il-proċessur jikkonferma li huwa rabat lill-persuni kollha awtorizzati biex jipproċessaw id-data personali tal-kontrollur (impjegati, freelancers, korpi) mal-kunfidenzjalità qabel il-bidu tal-attivitajiet tagħhom (Art. 28(3)(b) GDPR) jew li tali persuni huma suġġetti għal dmir statutorju xieraq ta' kunfidenzjalità. Dan l-obbligu jinkludi wkoll is-segretezza tad-data u jibqa' fis-seħħ anke wara t-terminazzjoni tal-attività jew ir-relazzjoni tal-impjieg.

7.2 Taħriġ u Sensibilizzazzjoni
Il-proċessur jiżgura li persuni awtorizzati biex jipproċessaw id-data jiġu istruwiti u sensibilizzati regolarment dwar id-dispożizzjonijiet fir-rigward tal-protezzjoni tad-data (GDPR, BDSG) u s-sigurtà tad-data. Il-proċessur, rappreżentat mill-ġestjoni tiegħu (Daniel Bosch, Philipp André Marschall), jiżgura kultura korporattiva konformi mar-regolamenti dwar il-protezzjoni tad-data.

7.3 Uffiċjal tal-Protezzjoni tad-Data
Il-proċessur ħatar uffiċjal tal-protezzjoni tad-data kompetenti u affidabbli, sakemm dan ikun meħtieġ bil-liġi skont it-Taqsima 38(1) BDSG jew l-Artikolu 37 GDPR (eż., fejn ġeneralment ikun hemm mill-inqas 20 persuna impenjati b'mod permanenti fl-ipproċessar awtomatizzat).

Jekk ma hemmx obbligu legali li jinħatar Uffiċjal tal-Protezzjoni tad-Data, il-proċessur tad-data madankollu jiżgura li l-obbligi ta' protezzjoni tad-data huma ssorveljati u rispettati bis-sħiħ mill-ġestjoni.

§ 8 Miżuri Tekniċi u Organizzattivi (TOMs) skont l-Art. 32 GDPR

8.1 Prinċipju tas-sigurtà tal-ipproċessar
Il-proċessur hawnhekk jiddikjara li, filwaqt li jqis l-istat tal-arti, l-ispejjeż tal-implimentazzjoni, u n-natura, l-ambitu, iċ-ċirkostanzi, u l-iskopijiet tal-ipproċessar, kif ukoll il-probabbiltà u s-severità varjabbli tar-riskju għad-drittijiet u l-libertajiet tal-persuni fiżiċi, biex jiżgura livell ta' sigurtà xieraq għar-riskju (Art. 32 GDPR). Dawn il-miżuri huma bbażati fuq standards rikonoxxuti ta' sigurtà tal-IT (bħal ISO 27001 u SOC 2).

8.2 Miżuri Speċifiċi
Il-proċessur għandu, b'mod partikolari, jimplimenta l-miżuri li ġejjin u jżommhom matul it-terminu kollu tal-kuntratt:

a) Psewdonimizzazzjoni u kriptaġġ (Art. 32(1)(a) GDPR)

• Kriptaġġ matul it-trasmissjoni: It-trasmissjonijiet kollha tad-data bejn l-utent aħħari, il-kontrollur, u l-infrastruttura ta' Biscotti CMP għandhom jużaw protokolli ta' kriptaġġ tal-aħħar ġenerazzjoni (TLS 1.2 jew TLS 1.3).
• Kriptaġġ waqt il-ħażna: Id-databases u l-mezzi ta' ħażna kollha fuq il-Hetzner Online GmbH (post tas-server: NL) huma kriptati fil-livell tad-diska (AES-256).
• Psewdonimizzazzjoni: Id-deċiżjonijiet tal-kunsens mhumiex marbuta ma' ismijiet reali, iżda ma' numru ta' identifikazzjoni kriptografika ġġenerat bl-addoċċ. L-indirizzi IP huma mqassra/anonimizzati awtomatikament hekk kif titlesta l-assenjazzjoni bbażata fuq il-lokalità.

b) Kunfidenzjalità (Kontroll tal-Aċċess)

• Kontroll tal-aċċess: Is-sigurtà fiżika tas-servers użati hija żgurata mill-fornitur tas-servizzi ta' infrastruttura esterna (eż., Google Cloud). Iċ-ċentri tad-data huma suġġetti għal kontrolli stretti ta' aċċess u sigurtà standard tal-industrija. Il-postijiet tal-uffiċċju ta' Campcruisers GmbH huma siguri permezz ta' restrizzjonijiet xierqa ta' aċċess fiżiku (eż., serraturi ta' sigurtà).
• Kontroll tal-aċċess: L-aċċess għas-sistemi tal-IT tal-proċessur tad-data huwa żgurat permezz ta' politiki restrittivi tal-passwords, awtentikazzjoni b'ħafna fatturi (MFA) għall-kontijiet amministrattivi rilevanti, u timeouts tas-sessjoni. Sistemi bħal Cloudflare Turnstile jintużaw biex jipproteġu l-attentati ta' login minn attakki ta' bot.
• Kontroll tal-aċċess: Japplika l-prinċipju tal-privileġġ minimu (Kontroll tal-Aċċess Ibbażat fuq ir-Rwol – RBAC). L-impjegati tal-proċessur tad-data għandhom aċċess biss għad-data li hija strettament meħtieġa għall-kompiti rispettivi tagħhom. Id-data tal-klijenti mill-pjanijiet differenti hija sseparata loġikament minn xulxin (multi-tenancy).

ċ) Integrità (Kontrolli tad-Divulgazzjoni, l-Input, u s-Segregazzjoni)

• Kontroll tad-divulgazzjoni: Id-data ma tiġix trasportata fuq mezzi ta' ħażna fiżika. It-trasmissjoni sseħħ esklussivament permezz ta' netwerks siguri.
• Kontroll tal-input: Biscotti CMP għandu zokk tal-awditjar komprensiv. Huwa possibbli li jiġi traċċat fi kwalunkwe ħin liema utent (klijent, membru tat-tim, aġenzija) għamel liema bidliet fid-dashboard u f'liema ħin (eż., bidliet fit-testi tal-banner, aġġustamenti għall-kategoriji tal-cookies).
• Kontroll tas-segregazzjoni: Data miġbura għal skopijiet differenti hija pproċessata separatament. L-ambjenti tal-produzzjoni, tat-test, u tal-iżvilupp huma strettament iżolati minn xulxin.

d) Disponibbiltà u reżiljenza (Art. 32(1)(b) u (ċ) GDPR)

• Disponibbiltà: Il-proċessur jieħu miżuri xierqa u standard tal-industrija biex jiżgura d-disponibbiltà tas-sistemi (hosting fuq il-Hetzner Online GmbH). Madankollu, l-ebda disponibbiltà SLA espliċita mhija garantita, u m'hemmx redundanza sħiħa tal-infrastruttura.
• Reżiljenza: L-arkitettura tas-sistema hija ddisinjata b'tali mod li l-volumi ta' sessjonijiet mistennija ġeneralment jiġu pproċessati b'mod affidabbli. Madankollu, mekkaniżmi dedikati ta' tqassim tat-tagħbija jew ta' skalar awtomatiku (auto-scaling) mhumiex użati.
• Irkuprabbiltà: Il-proċessur jieħu miżuri xierqa (eż., backups regolari tad-databases) biex jippermetti l-irkupru tad-data f'każ ta' inċident tekniku. Madankollu, m'hemm l-ebda garanzija ta' rkupru mingħajr telf, u huwa għalhekk li l-kontrollur huwa mħeġġeġ juża l-funzjonijiet ta' esportazzjoni disponibbli għalihom fuq ir-responsabbiltà tiegħu stess.

e) Proċeduri għal reviżjoni regolari (Art. 32(1)(d) GDPR)

• Il-proċessur jirrevedi regolarment l-effettività tal-miżuri tekniċi u organizzattivi meħuda internament.
• Proċessi interni ta' rispons għall-inċidenti huma fis-seħħ biex jindirizzaw inċidenti potenzjali fi ħdan il-qafas legali.
• It-TOMs huma suġġetti għal proċess ta' titjib kontinwu.

8.3 Adattament tat-TOMs
Il-miżuri tekniċi u organizzattivi huma suġġetti għall-progress tekniku u l-iżvilupp ulterjuri. Il-proċessur huwa intitolat li jimplimenta miżuri alternattivi adegwati, sakemm il-livell ta' sigurtà tal-miżuri speċifikati ma jiġix kompromess. Bidliet sinifikanti għandhom jiġu kkomunikati lill-kontrollur bil-miktub.

§ 9 Subproċessuri

9.1 Ingaġġ ta' Subproċessuri
Il-Kontrollur tad-Data hawnhekk jagħti lill-Proċessur tad-Data awtorizzazzjoni ġenerali bil-miktub (Art. 28(2) GDPR) biex jingaġġa proċessuri tad-data addizzjonali (subproċessuri). Il-Proċessur tad-Data għandu jiżgura li jagħżel is-subproċessuri b'attenzjoni u li jissuġġettihom kuntrattwalment għall-istess obbligi ta' protezzjoni tad-data bħal dawk stipulati f'dan il-Ftehim (Art. 28(4) GDPR).

9.2 Subproċessuri Awtorizzati Bħalissa
Fiż-żmien tal-konklużjoni tal-kuntratt, is-subproċessuri li ġejjin huma attivi fil-forniment tas-servizzi ta' Biscotti CMP u huma kkunsidrati awtorizzati mill-Kontrollur. Il-Proċessur żgura li, fil-każ ta' fornituri tal-Istati Uniti, il-fergħa rispettiva tal-UE taġixxi bħala s-sieħeb kuntrattwali sabiex jinżamm il-livell ta' protezzjoni tad-data tal-UE:

9.3 Trasferiment lejn Pajjiżi Terzi
Jekk l-ipproċessar isir minn subproċessuri barra l-Unjoni Ewropea (UE) jew iż-Żona Ekonomika Ewropea (ŻEE) (eż., fil-każ ta' Resend), il-proċessur jiżgura li r-rekwiżiti speċifiċi tal-Art. 44 et seq. tal-GDPR jintlaħqu. Dan ġeneralment jinkiseb billi jsiru l-Klawżoli Kuntrattwali Standard (SCCs) attwali tal-Kummissjoni Ewropea flimkien ma' Valutazzjoni tal-Impatt tat-Trasferiment u l-implimentazzjoni ta' miżuri tekniċi addizzjonali (eż., kriptaġġ).

9.4 Tibdil jew Ingaġġ ta' Subproċessuri Ġodda
Il-proċessur għandu jinforma lill-kontrollur dwar kwalunkwe bidla intenzjonata fir-rigward tal-ingaġġ jew is-sostituzzjoni ta' subproċessuri. In-notifika għandha tingħata bil-miktub (eż., permezz ta' email lill-indirizz maħżun fil-kont) mill-inqas 30 jum qabel il-bidla ppjanata.
Il-kontrollur jista' joġġezzjona għall-bidla għal raġuni konvinċenti relatata mal-liġi dwar il-protezzjoni tad-data fi żmien 14-il jum minn meta jirċievi n-notifika. Jekk ma tinġibidx oġġezzjoni, il-bidla għandha titqies approvata. F'każ ta' oġġezzjoni ġġustifikata li l-proċessur ma jistax isolvi permezz ta' miżuri raġonevoli, il-kontrollur huwa intitolat li jittermina l-kuntratt prinċipali b'mod straordinarju mid-data effettiva tal-bidla.

§ 10 Appoġġ Dwar id-Drittijiet tas-Suġġetti tad-Data

10.1 Dazju ta' Assistenza
Il-proċessur għandu, safejn ikun possibbli, jgħin lill-kontrollur b'miżuri tekniċi u organizzattivi xierqa biex jissodisfa l-obbligu tal-kontrollur li jirrispondi għal talbiet għall-eżerċizzju tad-drittijiet tas-suġġetti tad-data speċifikati fil-Kapitolu III tal-GDPR (Artikoli 15 sa 22 tal-GDPR) (Artikolu 28(3)(e) tal-GDPR).

10.2 Implimentazzjoni Teknika f'Biscotti CMP
Biscotti CMP għandu l-għan li jipprovdi appoġġ tekniku lill-kontrollur biex jissodisfa l-obbligi tiegħu:

• Dritt ta' aċċess (Art. 15 GDPR) & Dritt għall-portabbiltà tad-data (Art. 20 GDPR): Is-software joffri għażliet ta' esportazzjoni tad-data (eż., bħala CSV), jew esportazzjonijiet ta' IDs ta' kunsens speċifiċi jistgħu jintalbu mill-appoġġ f'konformità mar-regolamenti dwar il-protezzjoni tad-data.
• Dritt li tirtira l-kunsens (Art. 7(3) GDPR): Il-banner tal-kunsens ta' Biscotti CMP jipprovdi lill-utenti aħħarija l-abbiltà li jaraw is-settings tagħhom u jirtiraw il-kunsens fi kwalunkwe ħin.
• Dritt għat-tħassir (Art. 17 GDPR): Data miġbura tista' titħassar mill-kontrollur bl-użu ta' funzjonijiet provduti fid-dashboard jew, fuq talba verifikabbli, tista' titħassar mill-appoġġ.

10.3 Trażmissjoni tat-Talbiet
Jekk suġġett tad-data jasserixxi d-drittijiet tiegħu direttament kontra l-proċessur, il-proċessur ma jirrispondix għat-talba b'mod indipendenti iżda immedjatament jirreferi lis-suġġett tad-data lill-kontrollur, sakemm is-suġġett tad-data jista' jiġi identifikat abbażi tad-data disponibbli. Il-proċessur jibgħat it-talba lill-kontrollur mingħajr dewmien.

§ 11 Appoġġ għall-DPIA u l-Obbligi ta' Rappurtar

11.1 Valutazzjoni tal-Impatt fuq il-Protezzjoni tad-Data (Art. 35 GDPR)
Il-proċessur għandu jgħin lill-kontrollur, filwaqt li jqis in-natura tal-ipproċessar u l-informazzjoni disponibbli għalih, fit-twettiq ta' valutazzjoni tal-impatt fuq il-protezzjoni tad-data (DPIA) skont l-Art. 35 GDPR, kif ukoll fi kwalunkwe konsultazzjoni minn qabel mal-awtorità superviżorja li tista' tkun meħtieġa (Art. 36 GDPR).

11.2 Notifika ta' Ksur ta' Data Personali
Il-proċessur huwa obbligat li jinnotifika lill-kontrollur bil-miktub dwar kwalunkwe ksur ta' data personali (ksur tad-data) li jaffettwa d-data pproċessata taħt dan il-ftehim mingħajr dewmien żejjed, u fi kwalunkwe każ mhux aktar tard minn 48 siegħa wara li jsir jaf bih.

§ 12 Tħassir u Ritorn tad-Data

12.1 Tħassir mat-Terminazzjoni tal-Kuntratt
Mat-tlestija tal-forniment tas-servizzi ta' proċessar (terminazzjoni tal-kuntratt prinċipali), il-proċessur huwa obbligat, fid-diskrezzjoni tal-kontrollur, li jew iħassar jew jirritorna d-data personali kollha, sakemm ma jkunx hemm obbligu li tinżamm id-data personali taħt il-liġi tal-Unjoni jew il-liġi tal-Istati Membri (eż., obbligi ta' żamma kummerċjali u fiskali taħt il-Kodiċi Kummerċjali Ġermaniż (HGB) u l-Kodiċi Fiskali Ġermaniż (AO)).

12.2 Proċess Standard ta' Biscotti CMP
Sakemm il-Kontrollur tad-Data ma joħroġx istruzzjonijiet differenti, japplika l-proċess standard li ġej: Il-Kontrollur tad-Data għandu l-għażla li jagħmel backup tad-data tiegħu b'mod indipendenti qabel it-tmiem tal-kuntratt billi juża l-funzjoni ta' esportazzjoni (CSV). Wara li t-terminazzjoni tidħol fis-seħħ u jiskadi l-perjodu ta' fatturazzjoni, il-kont tal-Kontrollur tad-Data jiġi diżattivat. Id-data personali maħżuna fil-kont tinżamm għal perjodu tranżitorju ta' 30 jum (perjodu ta' żamma) biex tippermetti r-restawr f'każ ta' downgrade aċċidentali. Wara li jgħaddu dawn it-30 jum, id-data titħassar irrevocabbilment u f'konformità mar-regolamenti dwar il-protezzjoni tad-data mis-sistemi ta' produzzjoni.

12.3 Konferma tat-Tħassir
Fuq talba espressa tal-kontrollur, il-proċessur għandu jikkonferma bil-miktub lill-kontrollur li d-data tħassret f'konformità mar-regolamenti dwar il-protezzjoni tad-data.

§ 13 Drittijiet ta' Spezzjoni u Awditjar

13.1 Dritt għall-Awditjar
Il-proċessur għandu jipprovdi lill-kontrollur l-informazzjoni kollha meħtieġa biex juri l-konformità mal-obbligi stabbiliti fl-Art. 28 GDPR u f'dan il-kuntratt. Il-proċessur għandu jiffaċilita u jikkoopera ma' awditjar—inklużi spezzjonijiet—imwettqa mill-kontrollur jew minn awditur maħtur mill-kontrollur li huwa marbut b'obbligi ta' kunfidenzjalità.

13.2 Twettiq ta' Awditjar
Biex ma jiġix perikolat is-sigurtà taċ-ċentri tad-data u l-kunfidenzjalità tad-data ta' klijenti oħra (segregazzjoni tal-klijenti), il-partijiet jaqblu dwar il-proċedura li ġejja għall-awditjar:

• Il-Kontrollur tad-Data għandu jeżerċita d-dritt ta' spezzjoni tiegħu primarjament billi jitlob u jevalwa ċertifikati rilevanti (eż., ISO 27001) jew permezz ta' kwestjonarji dettaljati dwar is-sigurtà tal-IT.
• Jekk din l-informazzjoni tirriżulta li mhijiex suffiċjenti, il-Kontrollur tad-Data huwa intitolat li jwettaq spezzjoni fuq il-post fil-bini kummerċjali ta' Campcruisers GmbH (Berliner Str. 21 B, 14612 Falkensee).
• L-ispezzjonijiet fuq il-post għandhom jiġu mħabbra b'avviż raġonevoli bil-quddiem (ġeneralment mill-inqas 14-il jum).

§ 14 Responsabbiltà u Danni

14.1 Relazzjoni Esterna (Lejn Suġġetti tad-Data)
Il-kontrollur u l-proċessur għandhom ikunu responsabbli lejn is-suġġett tad-data għal kumpens għad-danni skont l-Artikolu 82 tal-GDPR. Il-proċessur għandu jkun responsabbli għad-dannu li jirriżulta mill-ipproċessar biss jekk naqas milli jissodisfa l-obbligi tiegħu taħt il-GDPR jew aġixxa b'mod kuntrarju għall-istruzzjonijiet legali tal-kontrollur.

14.2 Relazzjoni Interna (Bejn il-Partijiet)
Fir-relazzjoni interna tagħhom, il-partijiet għandhom ikunu eżenti minn responsabbiltà jekk parti tipprova li bl-ebda mod mhija responsabbli għaċ-ċirkostanza li kkawżat id-dannu.

14.3 Limitazzjoni tar-Responsabbiltà taħt il-Kuntratt Prinċipali
Barra minn hekk, japplikaw id-dispożizzjonijiet dwar ir-responsabbiltà tal-kuntratt prinċipali (Termini u Kundizzjonijiet Ġenerali). Ir-responsabbiltà għal negligenza ħafifa hija eskluża, sakemm ma tinvolvix ksur ta' obbligi kuntrattwali materjali (obbligi kardinali). F'dan il-każ, ir-responsabbiltà hija limitata għal dannu prevedibbli tipiku għall-kuntratt.

§ 15 Dispożizzjonijiet Finali

15.1 Forma bil-Miktub u Emendi
Emendi u supplimenti għal dan il-ftehim għandhom ikunu bil-miktub (eż., email). Il-Proċessur tad-Data jirriserva d-dritt li jemenda dan il-ftehim biex jadattah għal bidliet fis-sitwazzjoni legali jew żviluppi tekniċi. Il-Kontrollur tad-Data jiġi infurmat b'kwalunkwe emenda permezz ta' email.

15.2 Ordni ta' Preċedenza
Jekk dispożizzjonijiet individwali ta' dan il-Ftehim dwar l-Ipproċessar tad-Data jikkonfliġġu mad-dispożizzjonijiet tal-kuntratt prinċipali (Termini u Kundizzjonijiet), id-dispożizzjonijiet ta' dan il-Ftehim dwar l-Ipproċessar tad-Data għandhom jieħdu preċedenza fir-rigward tal-protezzjoni tad-data u s-sigurtà tad-data.

15.3 Klawżola ta' Siparabbiltà
Jekk dispożizzjonijiet individwali ta' dan il-Ftehim ikunu jew isiru invalidi jew ineffettivi, dan m'għandux jaffettwa l-validità tad-dispożizzjonijiet li jifdal. Il-partijiet jimpenjaw ruħhom li jissostitwixxu d-dispożizzjoni invalida jew ineffettiva b'dispożizzjoni valida u infurzabbli.

15.4 Liġi Governattiva u Ġurisdizzjoni
Dan il-Ftehim huwa regolat esklussivament mil-liġijiet tar-Repubblika Federali tal-Ġermanja, bl-esklużjoni tal-Konvenzjoni tan-NU dwar Kuntratti għall-Bejgħ Internazzjonali ta' Oġġetti. Il-post esklussiv tal-ġurisdizzjoni għat-tilwimiet kollha li jirriżultaw minn jew b'konnessjoni ma' dan il-Ftehim huwa, safejn permess mil-liġi, is-sede reġistrata tal-Proċessur tad-Data (Falkensee). Il-lingwa tal-Ftehim hija l-Ġermaniż.