Acord de prelucrare a datelor pentru MSP

Prezentul Acord de prelucrare a datelor („Acordul”) face parte din Acordul pentru furnizori de servicii gestionate („Acordul principal”) încheiat între Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Elveția, număr de identificare a companiei CHE-354.686.492 (denumită „Persoana împuternicită”) și MSP-ul identificat în Acordul principal (denumit „Compania”, și care trebuie înțeles ca fiind furnizorul de servicii gestionate ce utilizează Serviciile pentru a furniza, factura și asigura asistență propriilor Clienți gestionați, indiferent de forma sa juridică).

Prezentul Acord reglementează cerințele specifice ale Legislației privind protecția datelor în măsura în care utilizarea Serviciilor de către Companie, inclusiv furnizarea Serviciilor către Clienții gestionați de către Companie, implică Prelucrarea Datelor cu caracter personal care fac obiectul Legislației privind protecția datelor.

Durata prezentului Acord va urma durata Acordului principal. Termenii care nu sunt definiți în prezentul document vor avea înțelesul stabilit în Acordul principal.

ÎNTRUCÂT

A) Compania acționează în calitate de Operator de date sau, în cazul în care un Client gestionat solicită el însuși Prelucrarea propriilor Date cu caracter personal, în calitate de Persoană împuternicită de operator în numele acelui Client gestionat (în oricare dintre cazuri, „Operatorul”).

B) Compania dorește să subcontracteze anumite Servicii, care implică Prelucrarea Datelor cu caracter personal, către Proton AG, acționând în calitate de Persoană împuternicită de operator („Persoana împuternicită”).

C) Părțile doresc să implementeze un acord de prelucrare a datelor care să respecte cerințele cadrului legal actual în materie de prelucrare a datelor, inclusiv Regulamentul (UE) 2016/679 („GDPR”) și Legea federală elvețiană privind protecția datelor („FADP”), precum și alte Legislații aplicabile privind protecția datelor.

D) Părțile doresc să își stabilească drepturile și obligațiile corespunzătoare.

S-A CONVENIT DUPĂ CUM URMEAZĂ:

1. Definiții, roluri și domeniu de aplicare

1.1 Definiții. Dacă nu se definește altfel în prezentul document, termenii scriși cu majusculă au înțelesul atribuit în Acordul principal sau, dacă nu sunt definiți acolo, următorul înțeles:

• „Date cu caracter personal ale Companiei” înseamnă orice Date cu caracter personal referitoare la Companie, la Clienții gestionați ai Companiei sau la clienții ori angajații respectivi ai acestora, Prelucrate în legătură cu Acordul principal.
• „Persoană împuternicită contractuală” înseamnă o Persoană împuternicită subsecventă.
• „Legislația privind protecția datelor” înseamnă GDPR, FADP și, în măsura în care este aplicabilă, legislația privind protecția datelor sau confidențialitatea din orice altă țară.
• „Transfer de date” înseamnă (i) un transfer de Date cu caracter personal ale Companiei de la Companie către Persoana împuternicită sau către o Persoană împuternicită contractuală, sau (ii) un transfer ulterior de Date cu caracter personal ale Companiei de la Persoana împuternicită către o Persoană împuternicită subsecventă sau între două sedii ale unei Persoane împuternicite subsecvente.
• „Client gestionat” are înțelesul menționat în Acordul principal: o entitate utilizator final căreia Compania îi furnizează și îi livrează Serviciile ca parte a propriei oferte de servicii gestionate a Companiei.
• „Persoană împuternicită subsecventă” înseamnă orice persoană numită de către sau în numele Persoanei împuternicite pentru a Prelucra Date cu caracter personal în legătură cu Acordul.
• Termenii „Comisie”, „Operator”, „Persoană vizată”, „Stat membru”, „Date cu caracter personal”, „Încălcarea securității datelor cu caracter personal”, „Prelucrare” și „Autoritate de supraveghere” au același înțeles ca în GDPR sau în altă Legislație aplicabilă privind protecția datelor.

1.2 Rolurile părților. În raportul dintre Proton și Companie, Compania este Operatorul (sau, după caz, Persoana împuternicită care acționează conform instrucțiunilor unui Client gestionat), iar Proton este Persoana împuternicită, în ceea ce privește toate Datele cu caracter personal ale Companiei Prelucrate în temeiul Acordului principal, inclusiv Datele cu caracter personal aparținând sau referitoare la Clienții gestionați și la utilizatorii finali respectivi ai acestora. Prezentul Acord constituie întregul și exclusivul aranjament de prelucrare a datelor dintre Proton și orice parte din lanțul de Clienți gestionați. Proton nu are nicio relație contractuală directă, de tip Operator-Persoană împuternicită sau Persoană împuternicită-Persoană împuternicită subsecventă cu niciun Client gestionat și niciun Client gestionat nu este parte sau terț beneficiar al prezentului Acord. Compania este singura responsabilă pentru acordurile încheiate cu Clienții săi gestionați și pentru obligațiile față de aceștia, inclusiv pentru orice clauze privind protecția datelor pe care Compania le datorează acestora în temeiul legii aplicabile sau al contractului.

1.3 Responsabilitatea subsecventă a Companiei. Compania va încheia un acord scris cu fiecare Client gestionat care impune Companiei obligații de protecție a datelor la fel de stricte în ceea ce privește protejarea Datelor cu caracter personal ale acelui Client gestionat ca și obligațiile pe care Proton le datorează Companiei în temeiul prezentului Acord, în măsura în care acestea sunt aplicabile naturii Serviciilor pe care Compania le furnizează acelui Client gestionat. Obligațiile Proton în temeiul prezentului Acord sunt asumate exclusiv față de Companie; Compania rămâne singura răspunzătoare față de Clienții săi gestionați pentru Prelucrarea Datelor cu caracter personal ale acestora, inclusiv pentru orice acțiuni sau omisiuni ale Proton, în relația dintre Companie și Clienții săi gestionați.

2. Prelucrarea Datelor cu caracter personal ale Companiei

Persoana împuternicită:

• să respecte toate Legislațiile aplicabile privind protecția datelor în Prelucrarea Datelor cu caracter personal ale Companiei; și
• să nu Prelucreze Datele cu caracter personal ale Companiei altfel decât pe baza instrucțiunilor documentate ale Companiei, așa cum sunt prezentate mai jos.

Compania instruiește Persoana împuternicită să Prelucreze Datele cu caracter personal ale Companiei pentru a:

• furniza Serviciile și asistența tehnică aferentă Companiei și, prin intermediul Companiei, Clienților gestionați;
• îndeplini obligațiile legale sau soluționa litigiile;
• desfășura orice activitate internă menită să optimizeze securitatea, confidențialitatea și funcționalitatea Serviciilor; și
• desfășura raportări interne, raportări financiare și alte sarcini interne similare.

3. Personalul Persoanei împuternicite

Persoana împuternicită va lua măsuri rezonabile pentru a asigura fiabilitatea oricărui angajat, agent sau contractant al oricărei Persoane împuternicite contractuale care poate avea acces la Datele cu caracter personal ale Companiei, asigurându-se în fiecare caz că accesul este strict limitat la acele persoane care trebuie să cunoască sau să acceseze Datele cu caracter personal relevante ale Companiei, așa cum este strict necesar în scopurile Acordului principal și/sau pentru respectarea Legislației privind protecția datelor, și asigurându-se că toate aceste persoane fac obiectul unor angajamente de confidențialitate sau obligații profesionale ori statutare de confidențialitate.

4. Securitate

În conformitate cu articolul 32 alineatul (1) din GDPR, Persoana împuternicită va implementa măsuri tehnice și organizatorice adecvate pentru a asigura un nivel de securitate corespunzător riscului, ținând seama de stadiul actual al tehnologiei, de costurile implementării și de natura, domeniul de aplicare, contextul și scopurile Prelucrării. Aceste măsuri sunt concepute pentru a proteja drepturile și libertățile persoanelor fizice, luând în considerare riscurile cu diferite grade de probabilitate și gravitate, inclusiv riscul unei Încălcări a securității datelor cu caracter personal. Compania va implementa măsuri tehnice și organizatorice adecvate pentru propria Prelucrare a Datelor cu caracter personal ale Companiei, inclusiv pentru administrarea conturilor Clienților gestionați prin Licențe de administrator MSP, și se va asigura că accesul la aceste conturi este limitat la personalul Companiei care are nevoie de acesta, protejat prin controale adecvate de autentificare și revocat prompt atunci când nu mai este necesar.

5. Subîmputernicire

Sub rezerva dispozițiilor prezentului Acord, Compania acordă o autorizație generală Persoanei împuternicite de a angaja Persoane împuternicite subsecvente și de a le dezvălui sau transfera Datele cu caracter personal ale Companiei. Compania ia la cunoștință și aprobă lista Persoanelor împuternicite subsecvente menționată în Politica de confidențialitate a Persoanei împuternicite, înțelegând că această listă poate fi actualizată periodic de către Persoana împuternicită, caz în care Compania va fi informată conform procesului de notificare din Politica de confidențialitate. Compania autorizează în continuare Persoana împuternicită să divulge și să transfere Date cu caracter personal oricărei companii din cadrul grupului său corporativ. Persoana împuternicită se va asigura că Persoanele împuternicite subsecvente fac obiectul unui acord cu Persoana împuternicită care nu este mai puțin restrictiv și protector decât prezentul Acord în ceea ce privește protecția Datelor cu caracter personal ale Companiei, în măsura în care acest lucru este aplicabil naturii serviciilor furnizate de respectiva Persoană împuternicită subsecventă. Pentru evitarea oricărui dubiu, Compania nu este o Persoană împuternicită subsecventă a Proton, iar prezenta Secțiune nu se aplică angajamentelor proprii ale Companiei cu privire la orice Client gestionat sau terț.

6. Drepturile persoanelor vizate

Ținând cont de natura Prelucrării, Persoana împuternicită va acorda asistență rezonabilă Companiei în îndeplinirea obligațiilor acesteia de a răspunde cererilor de exercitare a drepturilor Persoanelor vizate în temeiul Legislației privind protecția datelor, inclusiv solicitărilor pe care Compania le primește de la sau în numele unui Client gestionat sau al utilizatorilor finali proprii ai acelui Client gestionat.

Persoana împuternicită:

• să notifice prompt Compania dacă primește o cerere de la o Persoană vizată în temeiul oricărei Legislații privind protecția datelor cu privire la Datele cu caracter personal ale Companiei; și

• să se asigure că nu răspunde acelei cereri decât pe baza instrucțiunilor documentate ale Companiei sau așa cum impune legislația aplicabilă, caz în care Persoana împuternicită va informa Compania, în măsura în care este permis de lege, cu privire la acea cerință legală înainte de a răspunde.

Compania este singura responsabilă pentru răspunsul și coordonarea cu orice Client gestionat cu privire la orice solicitare a Persoanei vizate referitoare la Datele cu caracter personal ale acelui Client gestionat; Persoana împuternicită nu are nicio obligație de a identifica sau de a comunica direct cu vreun Client gestionat.

7. Încălcarea securității datelor cu caracter personal

Persoana împuternicită va gestiona orice Încălcare a securității datelor cu caracter personal în conformitate cu Legislația aplicabilă privind protecția datelor și procedurile sale interne referitoare la Încălcarea securității datelor cu caracter personal. În cazul unei Încălcări a securității datelor cu caracter personal care afectează Datele cu caracter personal ale Companiei, Persoana împuternicită va notifica Compania fără întârzieri nejustificate, furnizând informații suficiente pentru a permite Companiei să își îndeplinească propriile obligații în temeiul Legislației privind protecția datelor, inclusiv, dacă este cazul, informarea Clienților gestionați afectați și a Persoanelor vizate. Persoana împuternicită va coopera cu Compania și va lua măsuri comerciale rezonabile, conform instrucțiunilor Companiei, pentru a ajuta la investigarea, atenuarea și remedierea fiecărei astfel de Încălcări a securității datelor cu caracter personal. Fiecare Parte va suporta costurile de investigare, remediere, atenuare și alte costuri aferente în măsura în care o Încălcare a securității datelor cu caracter personal este cauzată de acea Parte. Fiecare Parte va suporta costurile oricăror amenzi, penalități, daune-interese sau alte sume conexe impuse de o autoritate de reglementare competentă în măsura în care decurg din încălcarea de către acea Parte a propriilor obligații în temeiul prezentului Acord. Compania este singura responsabilă pentru notificările privind încălcările transmise Clienților săi gestionați și Persoanelor vizate ale acestora, precum și pentru calendarul și conținutul respectivelor notificări.

8. Evaluarea impactului asupra protecției datelor și consultarea prealabilă

Persoana împuternicită va acorda asistență rezonabilă Companiei în cadrul evaluărilor de impact asupra protecției datelor și consultărilor prealabile cu autoritățile de supraveghere pe care Compania le consideră în mod rezonabil necesare conform articolului 35 sau 36 din GDPR sau prevederilor echivalente din orice altă Legislație privind protecția datelor, în fiecare caz exclusiv în legătură cu Prelucrarea Datelor cu caracter personal ale Companiei de către Persoanele împuternicite contractuale și ținând seama de natura Prelucrării și de informațiile disponibile acestora.

9. Ștergerea sau returnarea Datelor cu caracter personal ale Companiei

La încetarea oricărui Serviciu care implică Prelucrarea Datelor cu caracter personal ale Companiei, Persoana împuternicită va șterge toate Datele cu caracter personal ale Companiei în măsura permisă de legea aplicabilă și în conformitate cu Termenii și condițiile și Politica de confidențialitate ale Persoanei împuternicite. În cazul în care Compania solicită o copie a Datelor cu caracter personal ale Companiei, aceasta trebuie să o solicite înainte de ștergere; cererile formulate după ștergere nu mai pot fi luate în considerare. La încetarea Acordului principal, Compania rămâne singura responsabilă pentru gestionarea ștergerii, returnării sau transferului Datelor cu caracter personal ale oricărui Client gestionat în relația dintre Companie și respectivul Client gestionat, în conformitate cu Secțiunea 5.4 din Acordul principal (Asistență pentru tranziție).

10. Drepturi de audit

Sub rezerva prezentei Secțiuni 10, Persoana împuternicită va pune la dispoziția Companiei, la cerere, toate informațiile necesare pentru a demonstra conformitatea cu prezentul Acord și va permite și va contribui la audituri, inclusiv inspecții, efectuate de Companie sau de un auditor mandatat de Companie, în legătură cu Prelucrarea Datelor cu caracter personal ale Companiei de către Persoanele împuternicite contractuale. Compania nu își va exercita drepturile de audit în temeiul prezentei Secțiuni mai mult de o dată pe an calendaristic, cu excepția cazului în care are loc o Încălcare a securității datelor cu caracter personal sau la dispoziția unei autorități de reglementare. Compania va trimite Persoanei împuternicite o notificare scrisă prealabilă cu cel puțin șaizeci (60) de zile înainte cu privire la intenția sa de a efectua un audit. Auditul se va desfășura în timpul programului de lucru al Persoanei împuternicite, nu va perturba operațiunile Persoanei împuternicite și va asigura protecția Datelor cu caracter personal ale Companiei, ale Persoanei împuternicite și ale altor Persoane vizate. Părțile vor conveni de comun acord, în prealabil, asupra datei, domeniului de aplicare, duratei și măsurilor de securitate și confidențialitate aplicabile auditului; Persoana împuternicită poate solicita încheierea unui acord de confidențialitate înainte de efectuarea auditului. Drepturile de informare și de audit în temeiul prezentei Secțiuni iau naștere numai în măsura în care prezentul Acord nu conferă Companiei, în alt mod, drepturi de informare și de audit care să respecte cerințele relevante ale Legislației privind protecția datelor. În cazul în care un Client gestionat solicită informații despre Prelucrarea efectuată de Proton ca parte a propriilor obligații de diligență ale Companiei față de acel Client gestionat, Compania se poate baza pe prezenta Secțiune pentru a obține informațiile necesare de la Persoana împuternicită și a le transmite mai departe, dar Clientul gestionat însuși nu are un drept independent de audit împotriva Persoanei împuternicite.

11. Transferul de date

În măsura posibilului, Persoana împuternicită va transfera sau va autoriza transferul Datelor cu caracter personal ale Companiei doar către țări din Elveția, UE și/sau țări care fac obiectul unei decizii privind caracterul adecvat al nivelului de protecție, așa cum se prevede la articolul 45 din GDPR și articolul 16 din FADP elvețian. Dacă Datele cu caracter personal ale Companiei Prelucrate în temeiul prezentului Acord sunt transferate din Elveția, UE sau dintr-o țară care face obiectul unei decizii privind caracterul adecvat către o țară din afara acestui domeniu de aplicare, Părțile se vor asigura că Datele cu caracter personal sunt protejate în mod adecvat, bazându-se, cu excepția cazului în care se convine altfel, pe clauzele contractuale standard aprobate și în vigoare la momentul respectiv în Elveția, UE și/sau Regatul Unit sau pe alte mecanisme de transfer prevăzute de Legislația privind protecția datelor. Persoana împuternicită este autorizată să efectueze astfel de transferuri către Persoane împuternicite subsecvente, cu condiția implementării unor garanții adecvate, având în vedere natura transferului.

12. Termeni generali

12.1 Conformitatea cu legislația aplicabilă. Persoana împuternicită va Prelucra Datele cu caracter personal ale Companiei în conformitate cu prezentul Acord și cu Legislația privind protecția datelor aplicabilă rolului său în temeiul prezentului Acord. Persoana împuternicită nu este responsabilă pentru respectarea Legislației privind protecția datelor aplicabile exclusiv Companiei sau oricărui Client gestionat în virtutea activității sau domeniului de activitate respectiv al acestora.

12.2 Confidențialitate. Fiecare Parte va păstra confidențialitatea oricăror informații pe care le primește despre cealaltă Parte în legătură cu prezentul Acord și nu le va utiliza sau divulga fără acordul prealabil scris al celeilalte Părți, cu excepția cazului în care (a) dezvăluirea este impusă de lege sau (b) informațiile se află deja în domeniul public fără vreo culpă a Părților.

12.3 Notificări. Notificările în temeiul prezentului Acord se vor face în conformitate cu prevederile referitoare la notificări din Acordul principal. Notificările adresate Persoanei împuternicite cu privire la aspecte legate de protecția datelor vor fi trimise suplimentar în copie la legal@proton.ch

12.4 Răspundere. Răspunderea fiecărei Părți care decurge din sau în legătură cu prezentul Acord face obiectul și este plafonată în conformitate cu dispozițiile privind limitarea răspunderii din Acordul principal, inclusiv cu orice plafon specific stabilit în acesta pentru încălcarea obligațiilor de confidențialitate și de protecție a datelor. Nicio prevedere din prezentul Acord nu limitează răspunderea vreunei Părți pentru amenzile sau sancțiunile impuse direct acesteia de către o autoritate de supraveghere competentă ca urmare a încălcării de către Partea respectivă a Legislației aplicabile privind protecția datelor. Compania recunoaște că, în calitate de unică parte aflată în relație directă de Operator cu Clienții săi gestionați, poartă întreaga responsabilitate pentru orice răspundere pe care Compania o suportă față de un Client gestionat și care depășește ceea ce Compania poate recupera de la Persoana împuternicită în conformitate cu plafonul de răspundere din Acordul principal.

12.5 Legea aplicabilă și jurisdicția. Prezentul Acord este guvernat de legislația elvețiană, fără a ține cont de dispozițiile privind alegerea legii sau conflictele de legi din orice altă jurisdicție, iar litigiile decurgând din sau în legătură cu prezentul Acord sunt supuse jurisdicției exclusive a instanțelor din Geneva, Elveția.

12.6 Ordinea de prioritate. În cazul unor discrepanțe între prezentul Acord și Acordul principal în ceea ce privește Prelucrarea Datelor cu caracter personal, prezentul Acord prevalează, în conformitate cu Secțiunea 10.1 din Acordul principal. În cazul unei discrepanțe între versiunea în limba engleză a prezentului Acord și orice versiune tradusă, versiunea în limba engleză va prevala.