Угода про обробку даних

Договір про обробку даних (AVV) відповідно до ст. 28 GDPR

Станом на: 20.03.2026

Між

зареєстрованим клієнтом компанії Biscotti CMP – далі «Контролер» або «Клієнт» –

та

Campcruisers GmbH Berliner Str. 21 B 14612 Falkensee Федеративна Республіка Німеччина

Реєстраційний суд: Районний суд Потсдама Реєстраційний номер: HRB 40180 P Ідентифікаційний номер платника ПДВ: DE368000447 Податковий номер: 29/249/36095 Представлена: Даніель Бош (генеральний директор), Філіп Андре Маршалл (прокурист) Електронна пошта: [email protected] Телефон: +49 3322 50703301 Години роботи: пн.-пт., 09:00 - 17:00 – далі іменується «Оператор» або «Постачальник» –

– Контролер та обробник даних, далі разом іменувані «Сторони» –

Преамбула

Ласкаво просимо до Campcruisers GmbH! Ми дуже раді вітати Вас як клієнта. Прозорість, найвищі стандарти безпеки та партнерські відносини на рівних є для нас пріоритетом. Захист Ваших даних та даних відвідувачів Вашого веб-сайту є для нас не лише законодавчим зобов’язанням, а й основною обіцянкою якості нашої компанії.

Контролер використовує хмарне програмне забезпечення як послугу (SaaS) «Biscotti CMP» (Consent Management Platform), розроблене, експлуатоване та розповсюджуване обробником даних. У рамках надання цих послуг SaaS, які надаються під доменом biscotti-cmp.com, а також у додатку app.biscotti-cmp.com, обробник даних обробляє персональні дані від імені та за вказівкою відповідального. Цей договір конкретизує зобов’язання сторін щодо захисту даних, що випливають із використання Biscotti CMP. Він застосовується до всіх видів діяльності, пов’язаних з основним договором (договором про використання послуг SaaS), під час яких працівники обробника даних або треті особи, уповноважені ним, можуть мати доступ до персональних даних контролера.

Цей договір є обов’язковим для виконання вимог Регламенту (ЄС) 2016/679 (Загальний регламент про захист даних – GDPR), зокрема ст. 28 GDPR, а також додаткових положень Федерального закону про захист даних (BDSG) та Закону про захист даних у сфері телекомунікацій та цифрових послуг (TDDDG).

[!NOTE] Укладення договору в електронній комерції Цей договір укладається в електронному форматі відповідно до ст. 28, абз. 9 GDPR. Під час реєстрації він є невід’ємною частиною Загальних умов (AGB) компанії Biscotti CMP. Укладення договору відбувається шляхом явного електронного погодження під час реєстрації (наприклад, шляхом натискання кнопки підтвердження) і для його дійсності та юридичної сили не потребує окремого підпису від руки.

§ 1 Предмет та тривалість обробки

1.1 Предмет обробки Оператор обробки даних надає відповідальному особі послуги в сфері управління згодою (Consent Management) та автоматизації дотримання вимог законодавства про захист даних. Предмет обробки персональних даних випливає з основного договору, укладеного між сторонами, щодо використання Biscotti CMP. Обробка охоплює всі операції з даними, необхідні для надання функціональних можливостей програмного забезпечення, погоджених у договорі. До них належать, зокрема, але не виключно:

• Надання та розміщення банерів згоди (банерів про файли cookie) на веб-сайтах відповідального.
• Збір, зберігання, управління та документування рішень щодо згоди (згода / відмова) кінцевих користувачів (відвідувачів веб-сайту) відповідального згідно зі ст. 7, абз. 1 GDPR та § 25, абз. 1 TDDDG.
• Проведення сканування файлів cookie з використанням штучного інтелекту на веб-сайтах відповідального за обробку даних з метою ідентифікації та категоризації технологій відстеження та їх порівняння з базою даних постачальників IAB.
• Обробка сигналів у рамках Google Consent Mode v2, IAB Transparency & Consent Framework (TCF 2.4), а також Global Privacy Control (GPC).
• Визначення юрисдикції відвідувача веб-сайту на основі IP-адреси для динамічного відображення варіантів банерів, що відповідають законодавству (наприклад, GDPR, CCPA/CPRA).
• Генерація юридичних текстів (видавнича інформація, політика конфіденційності, політика щодо файлів cookie) на основі штучного інтелекту за допомогою інтегрованого помічника Legal Suite з використанням Alibaba Cloud Qwen.
• Надання протоколів перевірки (журналів аудиту), веб-хуків для сповіщень у реальному часі, функцій A/B-тестування, а також функцій експорту даних для виконання прав суб’єктів даних згідно зі ст. 15 GDPR.
• Управління субрахунками агентства в рамках тарифу «Agency», включаючи управління клієнтами та брендинг під власною торговою маркою.

1.2 Тривалість обробки Термін дії цього договору про обробку даних залежить від терміну дії основного договору про використання Biscotti CMP. Договір набирає чинності з моменту реєстрації відповідального та активації облікового запису (для безкоштовних тарифів) або з моменту підтвердження оплати (для платних тарифів, таких як Starter, Growth, Business, Agency). Він автоматично припиняється з моменту припинення основного договору, незалежно від правової підстави (наприклад, через звичайне або позачергове розірвання або видалення облікового запису). Термін попередження про розірвання основного договору становить 1 день до закінчення відповідного розрахункового періоду. Положення цього договору, які за своїм характером повинні діяти після його припинення (зокрема, положення щодо видалення та повернення даних, а також питання відповідальності), залишаються в силі після припинення дії договору.

§ 2 Вид та мета обробки

2.1 Вид обробки Вид обробки включає збір, фіксацію, організацію, упорядкування, зберігання, адаптацію або зміну, зчитування, запит, використання, розкриття шляхом передачі, поширення або іншої форми надання, зіставлення або зв’язування, обмеження, видалення або знищення даних. Обробка здійснюється переважно в автоматизованому режимі в хмарній інфраструктурі обробника даних (наприклад, розміщеній на платформі Hetzner Online GmbH, сервери якої зазвичай знаходяться в Європейському Союзі).

2.2 Мета обробки Мета обробки полягає виключно у виконанні договірних зобов’язань за основним договором. Це включає:

• Підтвердження згоди: зберігання даних про згоду для виконання обов'язку відповідального за обробку даних відповідно до ст. 5, п. 2 у поєднанні зі ст. 7, п. 1 GDPR.
• Технічне забезпечення: відображення банера згоди та забезпечення функціональності веб-сайту відповідального з урахуванням уподобань користувачів.
• Аналіз відповідності: автоматизована перевірка веб-сайтів відповідального на наявність ризиків, пов’язаних із захистом даних (сканер файлів cookie).
• Створення юридичних текстів: обробка корпоративних даних та контактних даних відповідального за обробку даних для створення індивідуальних юридичних текстів за допомогою штучного інтелекту.
• Розрахунки та управління обліковими записами: управління обліковими записами користувачів, призначення лімітів сеансів (наприклад, 5 000 сеансів у тарифі «Free», 500 000 у тарифі «Business») та обробка перенесення сеансів.
• Управління агентством: забезпечення можливості управління до 25 субрахунків у тарифі «Агентство», включаючи надання сторінок для реселерів та функцій розсилки електронної пошти.

Обробка даних для власних цілей обробника даних, зокрема для власних рекламних цілей або для створення профілів користувачів, що виходять за межі договірного надання послуг, суворо заборонена, за винятком випадків, коли існує явне законодавче дозвіл або окрема згода.

§ 3 Вид персональних даних

У рамках обробки даних на замовлення обробляються такі категорії персональних даних. Контролер самостійно визначає точний обсяг даних за допомогою використання Biscotti CMP та налаштування програмного забезпечення:

• Дані про згоду: рішення (згода / відмова для різних категорій, таких як «Необхідні», «Функціональні», «Аналітика», «Маркетинг», «Послуги ШІ»), часові мітки (дата та точний час надання згоди), унікальний ідентифікаційний номер (для псевдонімного прив’язування рішення до відповідного кінцевого пристрою/браузера).
• Технічні дані: IP-адреси (обробляються переважно для визначення юрисдикції на основі місцезнаходження та, як правило, негайно анонімізуються/скорочуються, якщо відповідальний не встановив іншу конфігурацію), інформація про браузер, інформація про пристрій, рядки User-Agent, дані сеансу.
• Дані файлів cookie та трекерів: результати сканування веб-сайтів відповідального, включаючи знайдені файли cookie, вміст локальної пам'яті, трекери сторонніх постачальників та їх класифікацію.
• Контент, згенерований штучним інтелектом: дані, які відповідальний вводить в помічника Legal Suite для генерації юридичних текстів (політика конфіденційності, імпресум, загальні умови). Це може включати дані про компанію, імена уповноважених осіб, адреси та конкретні операції з обробки даних, які обробляються через API Alibaba Cloud Qwen.
• Контактні дані (власники облікових записів): ім’я та прізвище, адреса електронної пошти, назва підприємства, адреса, номер телефону, ідентифікаційний номер платника податку (ІПН) клієнтів або власників облікових записів.
• Дані про використання: дії на панелі інструментів, статистика банерів (перегляди, взаємодії, коефіцієнти прийняття), звіти про відповідність вимогам, журнали перевірок змін облікового запису.
• Платіжні дані: інформація про розрахунки, яка обробляється через платіжного оператора Stripe (при цьому дані кредитних карток токенізуються безпосередньо в Stripe і не зберігаються у відкритому вигляді у обробника даних).

§ 4 Категорії суб’єктів даних

Обробка стосується таких категорій суб'єктів даних:

• Відвідувачі веб-сайту (кінцеві користувачі): фізичні особи, які відвідують веб-сайти відповідального та чиї рішення щодо згоди запитуються, обробляються та зберігаються через банер Biscotti CMP.
• Клієнти (власники облікових записів): фізичні особи, приватні підприємці або представники юридичних осіб, які зареєстрували обліковий запис у Biscotti CMP як договірні партнери обробника даних.
• Члени команди та співробітники: особи, яких власник облікового запису (контролер) запросив до панелі управління Biscotti CMP як додаткових користувачів для управління системою.
• Клієнти агентств (власники субрахунків): кінцеві клієнти агентств, які користуються тарифом «Agency» і для яких було створено субрахунки.

§ 5 Обов'язки та права відповідального

5.1 Законність обробки Відповідальність за оцінку допустимості обробки даних на замовлення, а також за дотримання прав суб’єктів даних несе виключно відповідальний (ст. 4 № 7 GDPR). Відповідальний забезпечує наявність дійсної правової основи (наприклад, згода згідно зі ст. 6, п. 1, літ. а GDPR або законний інтерес згідно зі ст. 6, п. 1, літ. f GDPR) для обробки персональних даних обробником даних. Це стосується, зокрема, використання Biscotti CMP для отримання згоди відповідно до § 25 абз. 1 TDDDG.

5.2 Обов’язки щодо інформування Контролер несе повну відповідальність за прозоре, точне та своєчасне інформування суб’єктів даних (зокрема відвідувачів веб-сайту) про обробку даних відповідно до ст. 13 та ст. 14 GDPR. Для цього обробник даних надає відповідальному необхідну технічну інформацію про функціонування Biscotti CMP, а також зразки текстів через Legal Suite Assistant. Юридична перевірка та інтеграція заяви про захист даних покладається на відповідального.

5.3 Використання агентством та реселером Якщо відповідальний використовує тариф «Agency» та створює субрахунки для своїх власних клієнтів, він залишається єдиним договірним партнером та відповідальним за захист даних у відносинах з обробником даних. Відповідальний гарантує, що він має необхідні договірні угоди (включно з власними договорами про обробку даних) зі своїми кінцевими клієнтами. Якщо відповідальний створює сторінку реселера або використовує власні сервери електронної пошти під власним доменом, він несе виключну відповідальність за цю інфраструктуру з точки зору законодавства про захист даних та конкуренції. Обробник даних не несе за це жодної відповідальності.

5.4 Повідомлення про помилки Контролер повинен негайно та в повному обсязі повідомити обробника даних, якщо під час перевірки результатів виконання замовлення він виявить помилки або порушення вимог законодавства про захист даних.

§ 6 Право відповідального на надання вказівок

6.1 Вид та обсяг вказівок Оператор обробляє персональні дані виключно на підставі задокументованих вказівок відповідального, якщо він не зобов’язаний це робити згідно із законодавством Європейського Союзу або держав-членів, якому він підпорядковується (ст. 28, п. 3, літ. а GDPR). У такому випадку обробник даних повідомляє відповідального про цю правову вимогу до початку обробки, якщо відповідне законодавство не забороняє таке повідомлення з огляду на важливий суспільний інтерес.

Основний договір, а також ці Умови обробки даних (AVV) є початковими задокументованими вказівками. Використання функцій Biscotti CMP (наприклад, налаштування банера, запуск сканування, генерація текстів) відповідальним у панелі управління вважається задокументованою окремою вказівкою.

6.2 Форма інструкцій Інструкції, як правило, можуть надаватися через користувацький інтерфейс програмного забезпечення (додатку). Інструкції, що виходять за межі цього, повинні надаватися в текстовій формі (наприклад, електронною поштою на адресу [email protected]). Усні інструкції повинні бути негайно підтверджені відповідальним у текстовій формі.

6.3 Заперечення проти вказівок Оператор обробки даних негайно інформує відповідального, якщо він вважає, що вказівка порушує GDPR, BDSG або інші положення про захист даних Союзу чи держав-членів. Оператор обробки даних має право призупинити виконання відповідної вказівки доти, доки вона не буде підтверджена або змінена відповідальним. Очевидно незаконні вказівки обробник даних має право відхилити.

§ 7 Зобов'язання щодо конфіденційності

7.1 Зобов’язання співробітників Оператор підтверджує, що він зобов’язав усіх осіб, уповноважених обробляти персональні дані Контролера (співробітників, фрілансерів, органи), дотримуватися конфіденційності перед початком діяльності (ст. 28, п. 3, літ. b GDPR) або що вони підпадають під відповідний законодавчий обов’язок щодо збереження таємниці. Цей обов’язок також охоплює таємницю даних і залишається чинним навіть після припинення діяльності або трудових відносин.

7.2 Навчання та інформування Оператор обробки даних забезпечує, щоб особи, уповноважені на обробку, регулярно проходили інструктаж та інформування щодо положень про захист даних (GDPR, BDSG) та безпеку даних. Оператор обробки даних, представлений керівництвом (Даніель Бош, Філіп Андре Маршалл), дбає про корпоративну культуру, що відповідає вимогам захисту даних.

7.3 Уповноважений з питань захисту даних Оператор, якщо це вимагається законом згідно з § 38 абз. 1 BDSG або ст. 37 GDPR (наприклад, зазвичай при наявності щонайменше 20 осіб, які постійно займаються автоматизованою обробкою), призначив компетентного та надійного уповноваженого з питань захисту даних.

Якщо законодавчого обов'язку щодо призначення не існує, обробник даних все одно забезпечує, щоб керівництво повністю контролювало та дотримувалося зобов'язань щодо захисту даних.

§ 8 Техніко-організаційні заходи (TOM) відповідно до ст. 32 GDPR

8.1 Принцип безпеки обробки Оператор обробки даних зобов'язується заявити, що з урахуванням рівня розвитку техніки, витрат на впровадження, а також характеру, обсягу, обставин та цілей обробки, а також різної ймовірності та тяжкості ризику для прав і свобод фізичних осіб, вжив відповідних технічних та організаційних заходів (ТОМ), щоб забезпечити рівень захисту, що відповідає ризику (ст. 32 GDPR). Ці заходи базуються на визнаних стандартах ІТ-безпеки (таких як ISO 27001 та SOC 2).

8.2 Конкретні заходи Оператор обробки даних, зокрема, вживає таких заходів та дотримується їх протягом усього терміну дії договору:

a) Псевдонімізація та шифрування (ст. 32, п. 1, літ. a GDPR)

• Шифрування під час передачі: Усі передачі даних між кінцевим користувачем, відповідальним та інфраструктурою Biscotti CMP обов’язково здійснюються за допомогою найсучасніших протоколів шифрування (TLS 1.2 або TLS 1.3).
• Шифрування в стані спокою: всі бази даних та носії інформації на платформі Google Cloud (розташування серверів — Нідерланди) шифруються на рівні жорстких дисків (AES-256).
• Псевдонімізація: рішення щодо згоди пов’язуються не з іменами, а з випадково згенерованим криптографічним ідентифікаційним номером. IP-адреси за замовчуванням скорочуються/анонімізуються, щойно завершується прив’язка за місцем розташування.

б) Конфіденційність (контроль доступу та входу)

• Контроль доступу: Фізична безпека використовуваних серверів забезпечується зовнішнім постачальником інфраструктурних послуг (наприклад, Google Cloud). Центри обробки даних підлягають суворим, прийнятим у галузі, заходам контролю доступу та безпеки. Власні офісні приміщення Campcruisers GmbH захищені відповідними фізичними обмеженнями доступу (наприклад, замками безпеки).
• Контроль доступу: Доступ до ІТ-систем обробника даних захищений за допомогою обмежувальних політик щодо паролів, багатофакторної автентифікації (MFA) для відповідних адміністративних облікових записів, а також тайм-аутів сеансів. Системи, такі як Cloudflare Turnstile, використовуються для захисту спроб входу від атак ботів.
• Контроль доступу: застосовується принцип мінімального надання прав (Role-Based Access Control — RBAC). Співробітники обробника даних мають доступ лише до тих даних, які є обов’язково необхідними для виконання їхніх відповідних завдань. Дані клієнтів різних тарифних планів логічно відокремлені один від одного (багатокористувацькість).

c) Цілісність (контроль передачі, введення та розділення)

• Контроль передачі: дані не транспортуються на фізичних носіях. Передача здійснюється виключно через захищені мережі.
• Контроль введення: Biscotti CMP має вичерпний журнал перевірок (аудиторський журнал). У будь-який момент можна відстежити, який користувач (клієнт, член команди, агентство) в який час вніс які зміни в панелі управління (наприклад, зміна текстів банерів, коригування категорій файлів cookie).
• Контроль розділення: Дані, зібрані з різними цілями, обробляються окремо. Продуктивні, тестові та розробницькі середовища суворо ізольовані одне від одного.

d) Доступність та надійність (ст. 32, п. 1, літ. b та c GDPR)

• Доступність: Оператор обробки даних вживає відповідних заходів, що відповідають галузевим стандартам, для забезпечення доступності систем (хостинг на платформі Google Cloud). Однак явні показники доступності за угодою про рівень обслуговування (SLA) не гарантуються, і повна надмірність інфраструктури відсутня.
• Навантажуваність: Архітектура системи розроблена таким чином, що очікувані обсяги сеансів, як правило, обробляються надійно. Однак спеціальні механізми балансування навантаження або автоматичного масштабування (Auto-Scaling) не використовуються.
• Відновлюваність: Оператор обробки даних вживає відповідних заходів (наприклад, регулярне резервне копіювання баз даних), щоб у разі технічного інциденту забезпечити відновлення даних. Однак гарантії відновлення без втрат даних немає, тому відповідальний за обробку даних повинен самостійно використовувати доступні йому функції експорту.

e) Процедури регулярної перевірки (ст. 32, п. 1, літ. d GDPR)

• Оператор даних регулярно перевіряє внутрішньо ефективність вжитих технічних та організаційних заходів.
• Існують внутрішні процеси реагування на інциденти безпеки (Incident-Response), щоб мати змогу протидіяти потенційним інцидентам у рамках законодавства.
• TOM підлягають постійному процесу вдосконалення.

8.3 Адаптація технічних та організаційних заходів Технічні та організаційні заходи підлягають технічному прогресу та подальшому розвитку. Оператор має право вживати альтернативних адекватних заходів, за умови, що рівень безпеки не буде нижчим за рівень встановлених заходів. Про істотні зміни слід повідомляти відповідальному в письмовій формі.

§ 9 Субпідрядники

9.1 Залучення субпідрядників Контролер цим надає обробнику даних загальний письмовий дозвіл (ст. 28, ч. 2 GDPR) на залучення інших обробників даних (субпідрядників). Оператор обробки даних гарантує, що він ретельно відбирає субпідрядників та зобов'язує їх договором дотримуватися тих самих обов'язків щодо захисту даних, що й визначені в цьому договорі (ст. 28, п. 4 GDPR).

9.2 Субпідрядники, які на даний момент мають дозвіл На момент укладення договору наступні субпідрядники надають послуги Biscotti CMP і вважаються відповідальним за обробку даних такими, що мають дозвіл. Оператор обробки даних забезпечив, щоб у випадку з американськими постачальниками відповідне представництво в ЄС виступало як договірний партнер з метою дотримання рівня захисту даних ЄС:

9.3 Передача даних до третіх країн Якщо обробка здійснюється субпідрядниками за межами Європейського Союзу (ЄС) або Європейського економічного простору (ЄЕП) (наприклад, у випадку Resend), обробник даних забезпечує дотримання особливих вимог, передбачених статтями 44 та наступними статтями Загального регламенту про захист даних (GDPR). Зазвичай це здійснюється шляхом укладення чинних стандартних договірних умов (SCC) Європейської комісії у поєднанні з оцінкою впливу передачі даних (Transfer Impact Assessment) та впровадженням додаткових технічних заходів (наприклад, шифрування).

9.4 Заміна або залучення нових субпідрядників з обробки даних Оператор обробки даних інформує відповідального про будь-які заплановані зміни щодо залучення або заміни субпідрядників з обробки даних. Інформація надається в текстовій формі (наприклад, електронною поштою на адресу, вказану в обліковому записі) щонайменше за 30 днів до запланованої зміни. Контролер може заперечити проти зміни з важливих причин, пов’язаних із законодавством про захист даних, протягом 14 днів після отримання повідомлення. Якщо заперечення не надходить, зміна вважається затвердженою. У разі обґрунтованого заперечення, яке обробник даних не може усунути за допомогою розумних заходів, відповідальний має право достроково розірвати основний договір на момент набрання чинності зміною.

§ 10 Сприяння у забезпеченні прав суб’єктів даних

10.1 Обов’язок надання підтримки Оператор даних, у міру можливості, надає відповідальному за обробку даних підтримку у вигляді відповідних технічних та організаційних заходів для виконання його обов’язку щодо надання відповідей на запити про реалізацію прав суб’єктів даних, зазначених у розділі III GDPR (ст. 15–22 GDPR) (ст. 28, п. 3, літ. e GDPR).

10.2 Технічна реалізація в Biscotti CMP Biscotti CMP має на меті надати технічну підтримку відповідальному за обробку даних у виконанні його обов’язків:

• Право на доступ до інформації (ст. 15 GDPR) та право на перенесення даних (ст. 20 GDPR): Програмне забезпечення надає можливості експорту даних (наприклад, у форматі CSV), або можна звернутися до служби підтримки з проханням про експорт конкретних ідентифікаторів згоди відповідно до вимог захисту даних.
• Право на відкликання (ст. 7, п. 3 GDPR): банер згоди Biscotti CMP надає кінцевим користувачам можливість переглянути встановлені налаштування та відкликати їх у будь-який час.
• Право на видалення (ст. 17 GDPR): Зібрані дані можуть бути видалені відповідальним за обробку даних за допомогою функцій, наданих у панелі управління, або, за наявності підтвердження, шляхом звернення до служби підтримки з проханням про видалення.

10.3 Передача запитів Якщо суб’єкт даних реалізує свої права безпосередньо перед обробником даних, останній не відповідатиме на запит самостійно, а негайно перенаправить суб’єкта даних до відповідального, за умови, що на основі наявних даних можливе визначення відповідального. Обробник даних негайно перенаправляє запит до відповідального.

§ 11 Підтримка при проведенні оцінки впливу на захист даних (DSFA) та виконанні обов'язків щодо повідомлення

11.1 Оцінка впливу на захист даних (ст. 35 GDPR) Оператор, враховуючи характер обробки та інформацію, що є в його розпорядженні, надає підтримку контролеру у проведенні оцінки впливу на захист даних (DSFA) відповідно до ст. 35 GDPR, а також у разі необхідності попередньої консультації з наглядовим органом (ст. 36 GDPR).

11.2 Повідомлення про порушення захисту персональних даних Оператор зобов'язаний негайно, але не пізніше ніж через 48 годин після отримання інформації, повідомити відповідального в письмовій формі про будь-яке порушення захисту персональних даних (витік даних), що стосується даних, які обробляються за дорученням.

§ 12 Видалення та повернення даних

12.1 Видалення після закінчення терміну дії договору Після завершення надання послуг з обробки (припинення основного договору) обробник даних зобов'язаний, на вибір контролера, або видалити, або повернути всі персональні дані, якщо тільки за законодавством Європейського Союзу або законодавством держав-членів (наприклад, зобов'язання щодо зберігання даних згідно з торговим та податковим законодавством відповідно до HGB та AO) не існує обов'язку щодо зберігання персональних даних.

12.2 Стандартна процедура Biscotti CMP Якщо відповідальний не надає інших вказівок, застосовується така стандартна процедура: відповідальний має можливість самостійно зберегти свої дані до закінчення терміну дії договору за допомогою функції експорту (CSV). Після набрання чинності розірванням договору та закінчення розрахункового періоду обліковий запис відповідального деактивується. Персональні дані, збережені в обліковому записі, зберігаються протягом перехідного періоду в 30 днів (термін зберігання), щоб у разі випадкового пониження рівня обслуговування можна було відновити дані. Після закінчення цих 30 днів дані безповоротно та відповідно до вимог захисту даних видаляються з робочих систем.

12.3 Підтвердження видалення Оператор обробки даних підтверджує відповідальному за його явною вимогою видалення даних у текстовій формі відповідно до вимог захисту даних.

§ 13 Права на контроль та аудити

13.1 Право на перевірку Оператор надає відповідальному всю необхідну інформацію для підтвердження дотримання зобов’язань, встановлених у ст. 28 GDPR та в цьому договорі. Він забезпечує можливість проведення перевірок – включаючи інспекції –, які здійснюються відповідальним або призначеним ним аудитором, зобов’язаним дотримуватися конфіденційності, та сприяє їх проведенню.

13.2 Проведення аудитів Щоб не ставити під загрозу безпеку центрів обробки даних та конфіденційність даних інших клієнтів (розділення клієнтів), сторони домовляються про такий порядок проведення аудитів:

• Відповідальний здійснюватиме своє право контролю, насамперед, шляхом запиту та оцінки відповідних сертифікатів (наприклад, ISO 27001) або за допомогою детальних анкет щодо ІТ-безпеки.
• Якщо цієї інформації буде недостатньо, відповідальна особа має право провести інспекцію на місці в офісних приміщеннях Campcruisers GmbH (Berliner Str. 21 B, 14612 Falkensee).
• Про інспекції на місці слід повідомляти заздалегідь (як правило, не менше ніж за 14 днів).

§ 14 Відповідальність та відшкодування збитків

14.1 Зовнішні відносини (щодо відповідних осіб) Відповідальний та обробник даних несуть відповідальність за відшкодування збитків перед відповідною особою відповідно до ст. 82 GDPR. Обробник даних несе відповідальність за збитки, що виникли внаслідок обробки, лише у тому випадку, якщо він не виконав свої обов’язки, передбачені GDPR, або діяв всупереч законно наданим вказівкам відповідального.

14.2 Внутрішні відносини (між сторонами) У внутрішніх відносинах сторони звільняються від відповідальності, якщо одна зі сторін доведе, що вона жодним чином не несе відповідальності за обставини, що спричинили збиток.

14.3 Обмеження відповідальності за основним договором Додатково застосовуються положення про відповідальність, передбачені основним договором (Загальні умови). Відповідальність за легку недбалість виключається, за винятком випадків порушення істотних договірних зобов’язань (основних зобов’язань). У цьому випадку відповідальність обмежується типовим для договору, передбачуваним збитком.

§ 15 Прикінцеві положення

15.1 Письмова форма та зміни Зміни та доповнення до цього договору повинні бути оформлені в письмовій формі (наприклад, електронною поштою). Оператор обробки даних залишає за собою право змінювати цей договір з метою його адаптації до змін у законодавстві або технічних розробок. Контролер буде повідомлений про зміни електронною поштою.

15.2 Пріоритет Якщо окремі положення цього договору про обробку даних суперечать положенням основного договору (загальних умов), то положення цього договору про обробку даних мають пріоритет щодо захисту та безпеки даних.

15.3 Застережна клаузула Якщо окремі положення цього договору є або стануть недійсними або нездійсненними, це не впливає на чинність інших положень. Сторони зобов’язуються замінити недійсне або нездійсненне положення дійсним та здійсненним положенням.

15.4 Застосовне право та підсудність Цей договір підпорядковується виключно праву Федеративної Республіки Німеччина, за винятком Конвенції ООН про міжнародні договори купівлі-продажу товарів. Виключною підсудністю для всіх спорів, що випливають з цього договору або пов’язані з ним, є, наскільки це дозволено законом, місцезнаходження обробника даних (Фалькензе). Мовою договору є німецька.