Acord de Prelucrare a Datelor

Contract de prelucrare a datelor (CPD) în conformitate cu art. 28 din RGPD

Data: 20.03.2026

Între

clientul înregistrat al Biscotti CMP – denumit în continuare „operator” sau „client” –

și

Campcruisers GmbH Berliner Str. 21 B 14612 Falkensee Republica Federală Germania

Tribunalul de înregistrare: Tribunalul local Potsdam Număr de înregistrare: HRB 40180 P Cod de identificare fiscală: DE368000447 Cod fiscal: 29/249/36095 Reprezentată de: Daniel Bosch (CEO), Philipp André Marschall (procurator) E-mail: [email protected] Telefon: +49 3322 50703301 Program de lucru: luni-vineri, 09:00 - 17:00 – denumit în continuare „procesator de date” sau „furnizor” –

– Responsabilul și procesatorul de date sunt denumiți în continuare împreună „părțile” –

Preambul

Bine ați venit la Campcruisers GmbH! Ne bucurăm foarte mult să vă avem ca clienți. Transparența, cele mai înalte standarde de securitate și o relație de parteneriat pe picior de egalitate sunt prioritare pentru noi. Protecția datelor dumneavoastră și a datelor vizitatorilor site-ului dumneavoastră nu este pentru noi doar o obligație legală, ci o promisiune centrală de calitate a companiei noastre.

Operatorul utilizează soluția Software-as-a-Service (SaaS) bazată pe cloud „Biscotti CMP” (Consent Management Platform), dezvoltată, operată și comercializată de procesator. În cadrul prestării acestor servicii SaaS, care sunt furnizate sub domeniul biscotti-cmp.com, precum și prin aplicația app.biscotti-cmp.com, operatorul de date prelucrează date cu caracter personal în numele și conform instrucțiunilor operatorului de date. Prezentul contract concretizează obligațiile părților în materie de protecție a datelor, care decurg din utilizarea Biscotti CMP. Acesta se aplică tuturor activităților legate de contractul principal (contractul de utilizare a serviciilor SaaS) și în cadrul cărora angajații procesatorului de date sau terții desemnați de acesta pot intra în contact cu datele cu caracter personal ale operatorului.

Prezentul contract este absolut necesar pentru a îndeplini cerințele Regulamentului (UE) 2016/679 (Regulamentul general privind protecția datelor – RGPD), în special art. 28 RGPD, precum și dispozițiilor complementare ale Legii federale privind protecția datelor (BDSG) și ale Legii privind protecția datelor în domeniul telecomunicațiilor și serviciilor digitale (TDDDG).

[!NOTE] Încheierea contractului în comerțul electronic Prezentul contract este încheiat într-un format electronic, în conformitate cu art. 28 alin. 9 din RGPD. La înscriere/înregistrare de către operator, acesta face parte integrantă din Condițiile generale de afaceri (CGA) ale Biscotti CMP. Încheierea contractului are loc prin consimțământul electronic expres în cadrul înregistrării (de exemplu, prin clic pe un buton de confirmare) și nu necesită o semnătură olografă separată pentru a fi valabil și a produce efecte juridice.

§ 1 Obiectul și durata prelucrării

1.1 Obiectul prelucrării Procesatorul de date prestează pentru operator servicii în domeniul gestionării consimțământului (Consent Management) și al automatizării conformității cu legislația privind protecția datelor. Obiectul prelucrării datelor cu caracter personal rezultă din contractul principal încheiat între părți privind utilizarea Biscotti CMP. Prelucrarea cuprinde toate operațiunile legate de date care sunt necesare pentru furnizarea funcționalităților software convenite contractual. Acestea includ, în special, dar fără a se limita la:

• Furnizarea și afișarea bannerelor de consimțământ (bannere pentru cookie-uri) pe site-urile web ale operatorului.
• Înregistrarea, stocarea, gestionarea și documentarea deciziilor de consimțământ (acceptare / refuz) ale utilizatorilor finali (vizitatori ai site-ului web) ai operatorului, în conformitate cu art. 7 alin. 1 din RGPD și § 25 alin. 1 din TDDDG.
• Efectuarea de scanări de cookie-uri bazate pe IA pe site-urile web ale operatorului pentru identificarea și categorizarea tehnologiilor de urmărire și compararea acestora cu baza de date a furnizorilor IAB.
• Prelucrarea semnalelor în cadrul Google Consent Mode v2, al IAB Transparency & Consent Framework (TCF 2.4), precum și al Global Privacy Control (GPC).
• Determinarea jurisdicției vizitatorului site-ului web pe baza adresei IP pentru afișarea dinamică a variantelor de bannere conforme cu legislația (de ex. RGPD, CCPA/CPRA).
• Generarea de texte juridice bazată pe IA (imprimare, declarație de confidențialitate, politica privind cookie-urile) prin intermediul asistentului Legal Suite integrat, utilizând Alibaba Cloud Qwen.
• Furnizarea de jurnale de audit (Audit-Logs), webhooks pentru notificări în timp real, funcționalități de testare A/B, precum și funcții de export de date pentru respectarea drepturilor persoanelor vizate conform art. 15 RGPD.
• Administrarea subconturilor agenției în cadrul tarifului „Agency”, inclusiv administrarea clienților și brandingul white label.

1.2 Durata prelucrării Durata prezentului contract de prelucrare a datelor se bazează pe durata contractului principal de bază privind utilizarea Biscotti CMP. Contractul intră în vigoare odată cu înregistrarea operatorului și activarea contului (în cazul tarifelor gratuite) sau odată cu confirmarea plății (în cazul tarifelor cu plată, cum ar fi Starter, Growth, Business, Agency). Acesta încetează automat odată cu încetarea contractului principal, indiferent de motivul juridic (de exemplu, prin reziliere ordinară, reziliere extraordinară sau ștergerea contului). Termenul de preaviz pentru contractul principal este de 1 zi înainte de sfârșitul perioadei de facturare respective. Dispozițiile prezentului contract care, prin natura lor, trebuie să rămână în vigoare după încetare (în special prevederile privind ștergerea și returnarea datelor, precum și aspectele legate de răspundere) nu sunt afectate de încetare.

§ 2 Tipul și scopul prelucrării

2.1 Tipul prelucrării Tipul prelucrării include colectarea, înregistrarea, organizarea, ordonarea, stocarea, adaptarea sau modificarea, citirea, interogarea, utilizarea, divulgarea prin transmitere, difuzare sau orice altă formă de punere la dispoziție, compararea sau corelarea, restricționarea, ștergerea sau distrugerea datelor. Prelucrarea se efectuează în principal în mod automatizat în infrastructura cloud a procesatorului de date (de exemplu, găzduită pe Hetzner Online GmbH, locația serverului fiind de obicei în Uniunea Europeană).

2.2 Scopul prelucrării Scopul prelucrării constă exclusiv în îndeplinirea obligațiilor contractuale care decurg din contractul principal. Aceasta include:

• Dovada consimțământului: stocarea datelor privind consimțământul pentru îndeplinirea obligației de responsabilitate a operatorului, în conformitate cu art. 5 alin. 2 coroborat cu art. 7 alin. 1 din RGPD.
• Furnizare tehnică: afișarea bannerului de consimțământ și asigurarea funcționalității site-ului web al operatorului, ținând seama de preferințele utilizatorilor.
• Analiza conformității: verificarea automată a paginilor web ale operatorului în ceea ce privește riscurile legate de protecția datelor (scaner de cookie-uri).
• Redactarea textelor juridice: prelucrarea datelor de contact și a datelor companiei operatorului în vederea redactării, cu ajutorul IA, a unor texte juridice personalizate.
• Facturare și administrare conturi: administrarea conturilor de utilizator, alocarea limitelor de sesiuni (de ex. 5.000 de sesiuni în tariful Free, 500.000 în tariful Business) și gestionarea transferurilor de sesiuni.
• Administrarea agenției: facilitarea administrării a până la 25 de subconturi în tariful Agency, inclusiv punerea la dispoziție a paginilor de revânzător și a funcțiilor de trimitere a e-mailurilor.

Prelucrarea datelor în scopuri proprii ale procesatorului de date, în special în scopuri publicitare proprii sau pentru crearea de profiluri de utilizatori, care depășesc prestarea contractuală a serviciilor, este strict interzisă, cu excepția cazului în care există o autorizație legală expresă sau un consimțământ separat.

§ 3 Tipul datelor cu caracter personal

În cadrul prelucrării în baza contractului, sunt prelucrate următoarele categorii de date cu caracter personal. Operatorul stabilește singur volumul exact al datelor prin utilizarea Biscotti CMP și configurarea software-ului:

• Date privind consimțământul: decizii (acceptare/refuz pentru diferite categorii, cum ar fi esențiale, funcționale, de analiză, de marketing, servicii de IA), marcaj temporal (data și ora exactă a consimțământului), număr de identificare unic (pentru atribuirea pseudonimă a deciziei către dispozitivul final/browserul respectiv).
• Date tehnice: adrese IP (sunt prelucrate în principal pentru recunoașterea jurisdicției pe baza locației și, de regulă, sunt anonimizate/trunchiate imediat, cu excepția cazului în care operatorul configurează altfel), informații despre browser, informații despre dispozitiv, șiruri de caractere ale agentului utilizator, date de sesiune.
• Date privind cookie-urile și trackerele: Rezultatele scanării paginilor web ale operatorului, inclusiv cookie-urile găsite, conținutul memoriei locale, trackerele terților și clasificarea acestora.
• Conținut generat de IA: date pe care operatorul le introduce în asistenții Legal Suite pentru a genera texte juridice (declarație de confidențialitate, mențiuni legale, termeni și condiții). Acestea pot include date despre companie, numele reprezentanților legali, adrese și activități specifice de prelucrare, care sunt prelucrate prin intermediul API-ului Alibaba Cloud Qwen.
• Date de contact (titularul contului): nume și prenume, adresă de e-mail, denumirea companiei, adresa, numărul de telefon, codul de identificare fiscală (CIF) al clienților sau al titularilor de cont.
• Date de utilizare: activități din tabloul de bord, statistici privind bannerele (vizualizări, interacțiuni, rate de acceptare), rapoarte de conformitate, jurnale de verificare privind modificările contului.
• Date de plată: informații de facturare prelucrate prin intermediul furnizorului de servicii de plată Stripe (datele cardurilor de credit fiind tokenizate direct la Stripe și nefiind stocate în format clar la procesatorul de date).

§ 4 Categorii de persoane vizate

Prelucrarea vizează următoarele categorii de persoane vizate:

• Vizitatori ai site-ului web (utilizatori finali): persoane fizice care vizitează paginile web ale operatorului și ale căror decizii de consimțământ sunt solicitate, prelucrate și stocate prin intermediul bannerului Biscotti CMP.
• Clienți (titulari de cont): persoane fizice, întreprinzători individuali sau reprezentanți ai persoanelor juridice care, în calitate de parteneri contractuali ai operatorului de date, au înregistrat un cont la Biscotti CMP.
• Membrii echipei și angajații: persoane care au fost invitate de către titularul contului (operator) ca utilizatori suplimentari în tabloul de bord Biscotti CMP pentru a administra sistemul.
• Clienți ai agențiilor (titulari de subconturi): clienți finali ai agențiilor care utilizează tariful „Agency” și pentru care au fost create subconturi.

§ 5 Obligațiile și drepturile operatorului

5.1 Legalitatea prelucrării Responsabilul este singurul responsabil pentru evaluarea admisibilității prelucrării comandate, precum și pentru respectarea drepturilor persoanelor vizate (art. 4 nr. 7 RGPD). Responsabilul se asigură că există o bază juridică valabilă (de exemplu, consimțământul conform art. 6 alin. 1 lit. a RGPD sau interesul legitim conform art. 6 alin. 1 lit. f RGPD) pentru prelucrarea datelor cu caracter personal de către operatorul de date. Acest lucru se aplică în special utilizării Biscotti CMP pentru obținerea consimțământului în conformitate cu § 25 alin. 1 TDDDG.

5.2 Obligații de informare Operatorul este pe deplin responsabil de informarea persoanelor vizate (în special a vizitatorilor site-ului web) cu privire la prelucrarea datelor, în conformitate cu art. 13 și art. 14 din RGPD, în mod transparent, precis și în timp util. În acest scop, operatorul de date pune la dispoziția operatorului informațiile tehnice necesare privind funcționarea Biscotti CMP, precum și texte model prin intermediul asistentului Legal Suite. Verificarea juridică și integrarea declarației de confidențialitate revine operatorului.

5.3 Utilizarea de către agenții și revânzăt ori Dacă operatorul utilizează tariful „Agency” și creează subconturi pentru propriii clienți, operatorul rămâne, în raport cu procesatorul, singurul partener contractual și operatorul în sensul legislației privind protecția datelor. Responsabilul garantează că dispune de acordurile contractuale necesare (inclusiv propriile contracte de prelucrare a datelor) cu clienții săi finali. În cazul în care responsabilul creează o pagină de revânzător sau utilizează propriile servere de e-mail sub propriul domeniu, acesta poartă responsabilitatea exclusivă în materie de protecție a datelor și de drept al concurenței pentru această infrastructură. Procesatorul nu își asumă nicio răspundere în acest sens.

5.4 Raportarea erorilor Operatorul trebuie să informeze imediat și în mod complet procesatorul în cazul în care, la verificarea rezultatelor procesării, constată erori sau nereguli în ceea ce privește prevederile privind protecția datelor.

§ 6 Dreptul de a da instrucțiuni al operatorului

6.1 Natura și sfera de aplicare a instrucțiunilor Procesatorul prelucrează datele cu caracter personal exclusiv în conformitate cu instrucțiunile documentate ale operatorului, cu excepția cazului în care este obligat să facă acest lucru în temeiul dreptului Uniunii sau al statelor membre căruia îi este supus (art. 28 alin. 3 lit. a RGPD). Într-un astfel de caz, operatorul de date îl informează pe operator cu privire la această cerință legală înainte de prelucrare, cu excepția cazului în care legislația în cauză interzice o astfel de comunicare din motive de interes public important.

Contractul principal, precum și prezentele CGV constituie instrucțiunile inițiale documentate. Utilizarea funcțiilor Biscotti CMP (de exemplu, configurarea bannerului, inițierea unei scanări, generarea de texte) de către operator în panoul de control este considerată o instrucțiune individuală documentată.

6.2 Forma instrucțiunilor Instrucțiunile pot fi, de regulă, date prin intermediul interfeței de utilizare a software-ului (aplicației). Instrucțiunile suplimentare trebuie date în formă scrisă (de exemplu, prin e-mail la [email protected]). Instrucțiunile verbale trebuie confirmate imediat în formă scrisă de către operator.

6.3 Obiecții față de instrucțiuni Procesatorul de date informează imediat operatorul dacă consideră că o instrucțiune încalcă RGPD, BDSG sau alte dispoziții privind protecția datelor ale Uniunii sau ale statelor membre. Procesatorul de date are dreptul de a suspenda executarea instrucțiunii respective până când aceasta este confirmată sau modificată de către operator. Prelucrătorul poate refuza instrucțiunile care sunt în mod evident ilegale.

§ 7 Obligația de confidențialitate

7.1 Obligația angajaților Procesatorul confirmă că a obligat toate persoanele autorizate să prelucreze datele cu caracter personal ale operatorului (angajați, colaboratori independenți, organe) să respecte confidențialitatea înainte de începerea activității (art. 28 alin. 3 lit. b RGPD) sau că acestea sunt supuse unei obligații legale adecvate de confidențialitate. Această obligație include și secretul datelor și rămâne în vigoare chiar și după încetarea activității sau a raportului de muncă.

7.2 Instruire și sensibilizare Procesatorul se asigură că persoanele autorizate să prelucreze datele sunt instruite și sensibilizate în mod regulat cu privire la dispozițiile privind protecția datelor (RGPD, BDSG) și securitatea datelor. Procesatorul, reprezentat de conducere (Daniel Bosch, Philipp André Marschall), asigură o cultură organizațională conformă cu protecția datelor.

7.3 Responsabilul cu protecția datelor Prelucrătorul a numit un responsabil cu protecția datelor competent și de încredere, în măsura în care acest lucru este necesar din punct de vedere legal în conformitate cu § 38 alin. 1 BDSG sau art. 37 RGPD (de exemplu, în cazul în care, de regulă, cel puțin 20 de persoane sunt implicate permanent în prelucrarea automatizată).

În cazul în care nu există o obligație legală de numire, operatorul asigură totuși că obligațiile privind protecția datelor sunt monitorizate și respectate în totalitate de către conducere.

§ 8 Măsuri tehnico-organizatorice (TOM) conform art. 32 RGPD

8.1 Principiul securității prelucrării Procesatorul declară în mod obligatoriu că, ținând seama de stadiul tehnicii, de costurile de implementare și de natura, amploarea, circumstanțelor și scopurilor prelucrării, precum și a probabilității de apariție și a gravității riscului pentru drepturile și libertățile persoanelor fizice, a luat măsuri tehnice și organizatorice (TOM) adecvate pentru a asigura un nivel de protecție corespunzător riscului (art. 32 RGPD). Aceste măsuri se bazează pe standarde recunoscute de securitate IT (cum ar fi ISO 27001 și SOC 2).

8.2 Măsuri concrete Procesatorul pune în aplicare în special următoarele măsuri și le menține pe toată durata contractului:

a) Pseudonimizarea și criptarea (art. 32 alin. 1 lit. a RGPD)

• Criptarea în timpul transmiterii: Toate transferurile de date între utilizatorul final, operatorul și infrastructura Biscotti CMP se efectuează obligatoriu prin intermediul celor mai moderne protocoale de criptare (TLS 1.2 sau TLS 1.3).
• Criptarea în stare de repaus: Toate bazele de date și suporturile de stocare de pe Hetzner Online GmbH (locația serverului NL) sunt criptate la nivel de hard disk (AES-256).
• Pseudonimizare: Deciziile privind consimțământul nu sunt asociate cu nume reale, ci cu un număr de identificare criptografic generat aleatoriu. Adresele IP sunt scurtate/anonimizate în mod standard, imediat ce alocarea bazată pe locație este finalizată.

b) Confidențialitate (controlul accesului)

• Controlul accesului: Securitatea fizică a serverelor utilizate este asigurată de furnizorul extern de servicii de infrastructură (de exemplu, Google Cloud). Centrele de date sunt supuse unor controale stricte de acces și securitate, conform standardelor din industrie. Spațiile de birouri proprii ale Campcruisers GmbH sunt securizate prin restricții fizice adecvate de acces (de exemplu, încuietori de securitate).
• Controlul accesului: Accesul la sistemele IT ale procesatorului de date este securizat prin politici restrictive privind parolele, autentificarea multifactorială (MFA) pentru accesele administrative relevante, precum și prin expirarea sesiunilor. Se utilizează sisteme precum Cloudflare Turnstile pentru a proteja încercările de autentificare împotriva atacurilor bot.
• Controlul accesului: Se aplică principiul acordării drepturilor minime (Role-Based Access Control - RBAC). Angajații procesatorului de date au acces numai la datele care sunt absolut necesare pentru sarcina lor respectivă. Datele clienților din diferitele tarife sunt separate logic unele de altele (capacitate de multi-client).

c) Integritate (controlul transmiterii, introducerii și separării)

• Controlul transmiterii: Datele nu sunt transportate pe suporturi fizice. Transmiterea se efectuează exclusiv prin rețele securizate.
• Controlul introducerii: Biscotti CMP dispune de un jurnal de audit cuprinzător (Audit-Log). Se poate urmări în orice moment ce utilizator (client, membru al echipei, agenție) a efectuat ce modificări în dashboard la un moment dat (de exemplu, modificarea textelor bannerelor, ajustarea categoriilor de cookie-uri).
• Controlul separării: Datele colectate în scopuri diferite sunt prelucrate separat. Mediile de producție, de testare și de dezvoltare sunt strict izolate unele de altele.

d) Disponibilitate și rezistență (art. 32 alin. 1 lit. b și c RGPD)

• Disponibilitate: Procesatorul ia măsuri adecvate, obișnuite în industrie, pentru a asigura disponibilitatea sistemelor (găzduire pe Hetzner Online GmbH). Cu toate acestea, nu se garantează disponibilități SLA explicite și nu există o redundanță completă a infrastructurii.
• Capacitate de încărcare: Arhitectura sistemului este concepută astfel încât volumele de sesiuni preconizate să fie, de regulă, procesate în mod fiabil. Cu toate acestea, nu se utilizează un sistem dedicat de echilibrare a încărcării sau mecanisme de scalare automată (auto-scaling).
• Capacitatea de recuperare: Procesatorul ia măsuri adecvate (de exemplu, backup-uri periodice ale bazelor de date) pentru a permite recuperarea datelor în cazul unui incident tehnic. Cu toate acestea, nu există nicio garanție pentru o recuperare fără pierderi, motiv pentru care operatorul este invitat să utilizeze pe propria răspundere funcțiile de export disponibile.

e) Proceduri de verificare periodică (art. 32 alin. 1 lit. d RGPD)

• Prelucrătorul verifică periodic, la nivel intern, eficacitatea măsurilor tehnice și organizatorice adoptate.
• Există procese interne de reacție la incidentele de securitate (Incident-Response) pentru a putea face față potențialelor incidente în cadrul legal.
• Măsurile tehnice și organizatorice fac obiectul unui proces de îmbunătățire continuă.

8.3 Adaptarea măsurilor tehnice și organizatorice Măsurile tehnice și organizatorice sunt supuse progresului tehnic și dezvoltării ulterioare. Procesatorul de date are dreptul de a implementa măsuri alternative adecvate, cu condiția ca nivelul de securitate al măsurilor stabilite să nu fie scăzut. Modificările semnificative trebuie comunicate operatorului în scris.

§ 9 Subcontractanți

9.1 Angajarea subprocesatorilor Operatorul îi acordă prin prezenta procesatorului autorizația generală scrisă (art. 28 alin. 2 RGPD) de a angaja alți procesatori (subprocesatori). Operatorul se asigură că selectează cu atenție subprocesatorii și că îi supune contractual acelorași obligații de protecție a datelor care sunt stabilite în prezentul contract (art. 28 alin. 4 RGPD).

9.2 Subcontractanți autorizați în prezent La încheierea contractului, următorii subcontractanți sunt activi în prestarea serviciilor Biscotti CMP și sunt considerați autorizați de către operator. Procesatorul s-a asigurat că, în cazul furnizorilor din SUA, filiala respectivă din UE acționează ca partener contractual, pentru a menține nivelul de protecție a datelor din UE:

9.3 Transferul către țări terțe În cazul în care prelucrarea este efectuată de către sub-procesatori din afara Uniunii Europene (UE) sau a Spațiului Economic European (SEE) (de exemplu, în cazul Resend), procesatorul se asigură că sunt îndeplinite condițiile speciale prevăzute la art. 44 și următoarele din RGPD. Acest lucru se realizează, de regulă, prin încheierea clauzelor contractuale standard (SCC) actuale ale Comisiei UE, în combinație cu o evaluare a impactului transferului (Transfer Impact Assessment) și implementarea unor măsuri tehnice suplimentare (de exemplu, criptarea).

9.4 Schimbarea sau aducerea de noi subprocesatori Procesatorul va informa operatorul cu privire la orice modificare intenționată referitoare la aducerea sau înlocuirea subprocesatorilor. Informarea se face în formă scrisă (de exemplu, prin e-mail la adresa înregistrată în cont) cu cel puțin 30 de zile înainte de modificarea planificată. Operatorul poate contesta modificarea din motive importante legate de protecția datelor în termen de 14 zile de la primirea notificării. În cazul în care nu se formulează nicio contestație, modificarea se consideră aprobată. În cazul unei obiecții justificate, pe care operatorul de date nu o poate elimina prin măsuri rezonabile, operatorul are dreptul de a rezilia contractul principal în mod extraordinar la data intrării în vigoare a modificării.

§ 10 Asistență în ceea ce privește drepturile persoanelor vizate

10.1 Obligația de asistență Procesatorul de date asistă operatorul, în măsura posibilului, prin măsuri tehnice și organizatorice adecvate, în îndeplinirea obligației acestuia de a răspunde cererilor de exercitare a drepturilor persoanelor vizate menționate în capitolul III din RGPD (art. 15-22 RGPD) (art. 28 alin. 3 lit. e RGPD).

10.2 Implementarea tehnică în Biscotti CMP Biscotti CMP are ca scop sprijinirea tehnică a operatorului în îndeplinirea obligațiilor sale:

• Dreptul de acces (art. 15 RGPD) și dreptul la portabilitatea datelor (art. 20 RGPD): software-ul oferă opțiuni de exportare a datelor (de exemplu, în format CSV) sau se pot solicita exporturi ale unor ID-uri de consimțământ specifice către serviciul de asistență, în conformitate cu normele de protecție a datelor.
• Dreptul la retragere (art. 7 alin. 3 RGPD): bannerul de consimțământ al Biscotti CMP oferă utilizatorilor finali funcția de a accesa setările efectuate și de a le retrage în orice moment.
• Dreptul la ștergere (art. 17 RGPD): Datele colectate pot fi șterse de către operator prin intermediul funcțiilor puse la dispoziție în panoul de control sau se poate solicita ștergerea acestora în mod verificabil la serviciul de asistență.

10.3 Redirecționarea solicitărilor În cazul în care o persoană vizată își exercită drepturile direct față de operatorul de date, acesta nu va răspunde la solicitare în mod independent, ci va redirecționa persoana vizată fără întârziere către operatorul de date, în măsura în care este posibilă atribuirea către operatorul de date pe baza datelor disponibile. Operatorul de date redirecționează solicitarea fără întârziere către operatorul de date.

§ 11 Asistență în cazul evaluării impactului asupra protecției datelor (DSFA) și al obligațiilor de raportare

11.1 Evaluarea impactului asupra protecției datelor (art. 35 RGPD) Prelucrătorul de date sprijină operatorul, ținând seama de natura prelucrării și de informațiile de care dispune, în efectuarea unei evaluări a impactului asupra protecției datelor (DSFA) în conformitate cu art. 35 din RGPD, precum și în cazul unei consultări prealabile a autorității de supraveghere, dacă este necesar (art. 36 din RGPD).

11.2 Notificarea încălcărilor protecției datelor cu caracter personal Procesatorul este obligat să notifice operatorului, în scris, orice încălcare a protecției datelor cu caracter personal (breșă de securitate) care vizează datele prelucrate în cadrul contractului, fără întârziere, dar cel târziu în termen de 48 de ore de la luarea la cunoștință.

§ 12 Ștergerea și returnarea datelor

12.1 Ștergerea după încetarea contractului După încheierea prestării serviciilor de prelucrare (încetarea contractului principal), operatorul este obligat, la alegerea operatorului, să șteargă sau să returneze toate datele cu caracter personal, cu excepția cazului în care există o obligație de stocare a datelor cu caracter personal în conformitate cu legislația Uniunii sau cu legislația statelor membre (de exemplu, obligațiile de păstrare prevăzute de legislația comercială și fiscală conform HGB și AO).

12.2 Procesul standard al Biscotti CMP În cazul în care operatorul nu dă instrucțiuni contrare, se aplică următorul proces standard: operatorul are posibilitatea de a-și salva datele în mod independent înainte de încetarea contractului, utilizând funcția de export (CSV). După intrarea în vigoare a rezilierii și expirarea perioadei de facturare, contul operatorului este dezactivat. Datele cu caracter personal stocate în cont sunt păstrate pentru o perioadă de tranziție de 30 de zile (perioadă de păstrare), pentru a permite restaurarea în cazul unui downgrade accidental. La expirarea acestor 30 de zile, datele sunt șterse irevocabil și în conformitate cu protecția datelor din sistemele productive.

12.3 Confirmarea ștergerii La cererea expresă a responsabilului, operatorul de date confirmă acestuia, în scris, ștergerea datelor în conformitate cu normele de protecție a datelor.

§ 13 Drepturi de control și audituri

13.1 Dreptul la verificare Procesatorul pune la dispoziția operatorului toate informațiile necesare pentru a demonstra respectarea obligațiilor prevăzute la art. 28 din RGPD și în prezentul contract. Acesta permite verificări – inclusiv inspecții – efectuate de operator sau de un auditor mandatat de acesta, care are obligația de confidențialitate, și contribuie la acestea.

13.2 Efectuarea auditurilor Pentru a nu pune în pericol securitatea centrelor de date și confidențialitatea datelor altor clienți (separarea clienților), părțile convin asupra următoarei proceduri pentru audituri:

• Responsabilul își va exercita dreptul de control în primul rând prin solicitarea și evaluarea certificatelor relevante (de exemplu, ISO 27001) sau prin chestionare detaliate privind securitatea IT.
• În cazul în care aceste informații nu sunt suficiente, responsabilul are dreptul să efectueze o inspecție la fața locului în sediul Campcruisers GmbH (Berliner Str. 21 B, 14612 Falkensee).
• Inspecțiile la fața locului trebuie anunțate cu un preaviz rezonabil (de regulă, cel puțin 14 zile).

§ 14 Răspundere și despăgubiri

14.1 Relații externe (față de persoanele vizate) Responsabilul și operatorul de date sunt răspunzători față de persoana vizată pentru despăgubirea daunelor, în conformitate cu art. 82 din RGPD. Operatorul de date este răspunzător pentru daunele cauzate de prelucrare numai în cazul în care nu și-a îndeplinit obligațiile care îi revin în temeiul RGPD sau a acționat contrar instrucțiunilor date în mod legal de către responsabil.

14.2 Relația internă (între părți) În cadrul relației interne, părțile se exonerează de răspundere dacă una dintre părți dovedește că nu este în niciun fel responsabilă pentru circumstanța care a provocat prejudiciul.

14.3 Limitarea răspunderii din contractul principal În plus, se aplică prevederile privind răspunderea din contractul principal (Condițiile generale de contract). Răspunderea pentru neglijență ușoară este exclusă, cu excepția cazului în care este vorba de încălcarea obligațiilor contractuale esențiale (obligații cardinale). În acest caz, răspunderea este limitată la prejudiciul previzibil, tipic pentru contract.

§ 15 Dispoziții finale

15.1 Forma scrisă și modificări Modificările și completările la prezentul contract trebuie să fie în formă scrisă (de exemplu, e-mail). Procesatorul își rezervă dreptul de a modifica prezentul contract pentru a-l adapta la schimbările legislative sau la evoluțiile tehnice. Operatorul va fi informat cu privire la modificări prin e-mail.

15.2 Ierarhia În cazul în care anumite prevederi ale prezentului contract de prelucrare a datelor sunt în contradicție cu prevederile contractului principal (Condițiile generale de contract), prevederile prezentului contract de prelucrare a datelor au prioritate în ceea ce privește protecția și securitatea datelor.

15.3 Clauză salvatorie În cazul în care anumite prevederi ale prezentului contract sunt sau devin ineficiente sau inaplicabile, acest lucru nu afectează valabilitatea celorlalte prevederi. Părțile se angajează să înlocuiască prevederea ineficientă sau inaplicabilă cu o prevedere eficientă și aplicabilă.

15.4 Dreptul aplicabil și forul competent Prezentul contract este supus exclusiv dreptului Republicii Federale Germania, cu excluderea Convenției Națiunilor Unite privind contractele de vânzare-cumpărare internațională de mărfuri. Forul competent exclusiv pentru toate litigiile care decurg din sau în legătură cu prezentul contract este, în măsura permisă de lege, sediul operatorului de date (Falkensee). Limba contractului este limba germană.