v imenu

med stranko, ki se ji posamezno reče tudi "stranka"

in Partner Tech Europe GmbH, ki se ji posamezno reče tudi "Izvajalec" ali "Stranka"

in skupno omenjeni kot »Stranke«.

1. Splošno

1. V okviru zagotavljanja storitev v skladu z glavnim pogodbenim odnosom med strankami je mogoče, da izvajalec pri vzdrževanju in servisiranju ponujenega strojnega in programskega opremljenja pride v stik z osebnimi podatki (v nadaljevanju: podatki stranke), za katere je stranka odgovorna oseba v smislu predpisov o varstvu podatkov. Ta sporazum o obdelavi podatkov opredeljuje pravice in obveznosti strank v zvezi z ravnanjem s podatki stranke.
2. Izvajalec obdeluje osebne podatke v imenu naročnika v smislu čl. 4 št. 8 in čl. 28 Uredbe (EU) 2016/679 – Splošne uredbe o varstvu podatkov (GDPR). Ta pogodba ureja pravice in obveznosti strank v zvezi z obdelavo osebnih podatkov v imenu naročnika. Posamezne storitve, ki jih zagotavlja izvajalec, so podrobneje opisane v glavni pogodbi, sklenjeni med strankami. Dodatne podrobnosti o zbiranju, obdelavi in uporabi podatkov je mogoče najti v predlogih izvajalca, na katerih temelji poslovno razmerje, in, če je primerno, v nadaljnjih posameznih naročilih.
3. Če se v tej pogodbi uporabljajo izrazi, ki so pravno določeni v GDPR, se ustrezna opredelitev iz GDPR sprejme in uporabi kot osnova za to pogodbo. To še posebej velja za izraz »obdelava« (podatkov) v čl. 4 št. 2 GDPR.

2. Predmet pogodbe

Predmet obdelave, vrsta in namen obdelave, vrsta osebnih podatkov in vrste posameznikov so navedeni v glavni pogodbi.

3. Pravice in obveznosti naročnika

1. Stranka je upravljavec osebnih podatkov v smislu člena 4, tč. 7 GDPR za obdelavo podatkov v imenu izvajalca.
2. Naročnik je odgovoren za zavarovanje pravic posameznikov. Izvajalec mora naročnika takoj obvestiti, če posamezniki proti izvajalcu uveljavljajo svoje pravice.
3. Naročnik ima pravico kadarkoli izdati izvajalcu dodatna navodila glede vrste, obsega in postopka obdelave podatkov. Navodila morajo biti dana v pisni obliki (npr. e-pošta). Ustna navodila morajo biti brez odloga potrjena v pisni obliki.
4. Določbe o morebitni nadomestilu za dodatne stroške, ki jih ima izvajalec kot posledico dodatnih navodil naročnika, ostanejo nespremenjene.
5. Naročnik mora izvajalca takoj obvestiti, če odkrije napake ali nepravilnosti v zvezi z obdelavo osebnih podatkov s strani izvajalca.
6. V primeru, da obstaja obveznost posredovanja informacij tretjim osebam v skladu s členi 33 in 34 GDPR ali druge pravne obveznosti poročanja, ki se nanašajo na naročnika, je naročnik odgovoren za skladnost s takšnimi obveznostmi.

4. Splošne obveznosti izvajalca

1. Izvajalec mora obdelovati osebne podatke izključno v okviru sklepov dogovorov in/ali v skladu z dodatnimi navodili, ki jih izda naročnik. To ne velja za pravne predpise, ki lahko naročnika zavežejo, da podatke obdeluje drugače. V tem primeru mora izvajalec naročnika obvestiti o teh pravnih zahtevah pred obdelavo, razen če ustrezni zakon takšno obvestilo prepoveduje iz razlogov pomembnega javnega interesa. V nasprotnem primeru sta namen in vrsta obdelave podatkov v celoti urejeni s to pogodbo in/ali navodili naročnika. Izvajalec ne sme obdelovati podatkov na kakršenkoli drugi način, razen če je naročnik dal pisno soglasje.
2. Obdelava podatkov naročnika s strani izvajalca v imenu naročnika poteka na splošno v članicah Evropske unije (EU) ali Evropskega gospodarskega prostora (EGP). Vendar pa izvajalec lahko obdeluje podatke naročnika tudi zunaj EGP v skladu z določbami te pogodbe, če izpolnjuje zahteve čl. 44 in nasl. GDPR.
3. Izvajalec mora takoj obvestiti naročnika, če je po njegovem mnenju navodilo, ki ga je dal naročnik, v nasprotju s pravnimi predpisi. Izvajalec je upravičen do suspenzije izvršitve zadevnega navodila, dokler ga naročnik ne potrdi ali spremeni. Če izvajalec lahko dokaže, da bi obdelava v skladu z navodilom naročnika lahko vodila do odgovornosti izvajalca na osnovi čl. 82 GDPR, je izvajalec svoboden v suspenziji nadaljnje obdelave v tej zvezi, dokler se odgovornost med strankami ne razjasnI.
4. Obdelava podatkov v imenu stranke zunaj prostorov izvajalca ali podizvajalcev je dovoljena samo s privoljo stranke, ki mora biti dana pisno. Obdelava podatkov za stranko v zasebnih domovih je na splošno dovoljena. Stranka ima pravico do ugovora na obdelavo v zasebnih stanovanjih v utemeljenih primerih; izvajalec lahko po lastni presoji nadaljuje obdelavo na svojem poslovnem mestu ali razrešuje utemeljitve stranke za ugovor.
5. Izvajalec mora zagotoviti, da se spoštujejo zlasti tehnični in organizacijski ukrepi. Stranka je seznanjena, da to lahko povzroči omejitve kontrolnih možnosti.
6. Izvajalec mora obdelave podatke, ki jih obdeluje v imenu stranke, ločeno od drugih podatkov. Fizična separacija ni obvezna.
7. 
   

5. Varnostni nadzornik izvajalca

1. Izvajalec potrjuje, da je v skladu s členom 37 GDPR imenoval varnostnega nadzornika. Izvajalec mora zagotoviti, da ima varnostni nadzornik potrebne kvalifikacije in strokovnost. Izvajalec mora stranki na zahtevo pisno predložiti ime in kontaktne podatke svojega varnostnega nadzornika.
2. Obveznost imenovanja varnostnega odborniKa v skladu z odstavkom 1 se ne uporablja, če izvajalec lahko dokaže, da ni pravno dolžan imenovati varnostnega odborniKa, in izvajalec lahko dokaže, da so na mestu operativni predpisi, ki zagotavljajo, da se osebni podatki obdelujejo v skladu s pravnimi predpisi, določbami te pogodbe in nadaljnjimi navodili naročnika.

6. Obveznosti izvajalca glede poročanja

1. Izvajalec je dolžan takoj obvestiti naročnika o kršitvah predpisov o varstvu podatkov ali dogovorjenih pogodbenih dogovorov in/ali izdanih navodil, do katerih je prišlo pri obdelavi podatkov s strani njega ali drugih oseb, ki so vključene v obdelavo. Enako velja za vsak prekršek varstva osebnih podatkov, ki jih izvajalec obdeluje v imenu naročnika.
2. Poleg tega mora izvajalec takoj obvestiti naročnika, če je nadzorna область v skladu s čl. 58 GDPR začela postopek zoper izvajalca, kar bi lahko vplivalo tudi na obdelavo, ki jo izvaja izvajalec v imenu naročnika.
3. Izvajalec mora naročnika podpreti pri izpolnjevanju obveznosti poročanja v skladu s čl. 33 GDPR in obveznosti obvestila v skladu s čl. 34 GDPR. Poročilo izvajalca naročniku mora vsebovati naslednje podatke:

• opis narave kršitve varstva osebnih podatkov, vključno z, če je mogoče, kategorijami in približnim številom prizadetih posameznikov, kategorijami zadevnih osebnih podatkov in približnim številom zadevnih zapisov osebnih podatkov;
• opis ukrepov, sprejete ali predlaganih s strani izvajalca za odpravo kršitve varstva osebnih podatkov in, če je primerno, ukrepe za ublažitev njegovih mogočih škodljivih učinkov.

7. Obveznosti izvajalca za sodelovanje

1. Izvajalec mora podpreti naročnika pri njegovi obveznosti, da odgovori na zahtevke za uveljavljanje pravic posameznikov v skladu s členi 12-22 GDPR. Veljajo določbe poglavja 11 te pogodbe.
2. Izvajalec mora naročnika pomoči pri sestavljanju evidenc dejavnosti obdelave. V tem smislu mu mora zagotoviti potrebne podatke na primeren način.
3. Izvajalec mora podpreti naročnika pri izpolnjevanju obveznosti, navedenih v členih 32-36 GDPR, ob upoštevanju vrste obdelave in podatkov, ki so mu na voljo.

8. Pristojnosti nadzora

1. Naročnik ima pravico spremljati skladnost izvajalca s predpisi o varstvu podatkov in/ali dogovorjenimi pogodbami med strankami in/ali navodili naročnika v obsegu, ki je potreben, kadarkoli.
2. Izvajalec je dolžan naročniku zagotoviti podatke v obsegu, ki je potreben za izvajanje spremljanja v smislu odstavka 1.
3. Naročnik lahko zahteva dostop do podatkov, obdelanih s strani izvajalca za naročnika, kot tudi do sistemov obdelave podatkov in programov, ki se uporabljajo.
4. Naročnik lahko po ustreznem obvestilu opravi pregled v smislu odstavka 1 na poslovnih prostorih izvajalca med običajnim delovnim časom. Naročnik mora zagotoviti, da se pregledi izvajajo le v obsegu, ki je potreben, da se izvajalčevo poslovanje ne moti nesorazmerno.
5. Pregled iz prejšnje točke (4) lahko izvede tudi strokovnjak, ki ga imenuje stranka. Izvajalec mora biti o tej nominaciji obveščen vnaprej in v dobrem roku, da se lahko v utemeljenih primerih ugovarja nominaciji, npr. če je strokovnjak potencialni konkurent izvajalca. V primeru takega ugovora lahko stranka po lastni presoji sama izvede ustrezni pregled ali razrešuje utemeljiteve izvajalca za ugovor (npr. z nominacijo drugega strokovnjaka).
6. V primeru ukrepov, ki jih je sprejela nadzorna oblast zoper naročnika v smislu čl. 58 GDPR, zlasti glede obveznosti informiranja in nadzora, je izvajalec dolžan naročniku zagotoviti potrebne podatke in omogočiti pristojni nadzorni oblasti, da opravi na licu mesta pregled. Naročnik mora biti s strani izvajalca obveščen o vseh tak načrtovanih ukrepih.

9. Podizvajalstvo

1. Naročnik se soglašam da izvajalec lahko angažira podizvajalce. Izvajalec mora naročnika obvestiti preden angažira dodatne podizvajalce ali zamenja obstoječe podizvajalce. Naročnik se lahko v roku dveh tednov od prejema obvestila od izvajalca upravi nasprotovanje spremembi z dobrim razlogom z obveščanjem pisarne, ki jo je imenoval izvajalec. Če v tem roku ni nasprotovanja, se šteje, da je soglasje k spremembi dano. Podizvajalci, ki jih je angažiral izvajalec ob podpisu pogodbe, so navedeni na naslednji strani XXX in so sprejeti s strani naročnika.
2. Izvajalec mora s podizvajalcem skleniti pogodbo o obdelavi podatkov, ki je skladna s pogoji čl. 28 GDPR. Poleg tega mora izvajalec podizvajalcu naložiti enake obveznosti varstva osebnih podatkov, kot so dogovorjeni med naročnikom in izvajalcem. Kopija pogodbe o obdelavi podatkov se na zahtevo naročniku proda.
3. Izvajalec je še posebej dolžan zagotoviti s pogodbenim določbami, da se kontrolne pristojnosti (poglavje 8 te pogodbe) naročnika in nadzornih oblasti nanašajo tudi na podizvajalca in da so dogovorjene ustrezne kontrolne pravice naročnikov in nadzornih oblasti. Pogodbo je treba tudi predvideti, da mora podizvajalec tolerirati te nadzorne ukrepe in preglede na licu mesta.
4. Storitve, ki jih izvajalec uporabi tretjih oseb kot čisto pomožne storitve, da bi opravljal svoje poslovne dejavnosti, se ne štejejo za razmerja podizvajalstva v smislu člena 9. Sem spadajo na primer storitve čiščenja, čiste telekomunikacijske storitve brez posebne povezave s storitvami, ki jih izvajalec zagotavlja naročniku, poštne in kurirske storitve, storitve prevoza in varnostne storitve. Izvajalec je kljub temu dolžan zagotoviti, da so ustrezni ukrepi previdnosti ter tehnični in organizacijski ukrepi sprejeti tudi v primeru pomožnih storitev, ki jih zagotavljajo tretje osebe, da se zagotovi zaščita osebnih podatkov. Vzdrževanje in servisiranje IT sistemov ali aplikacij predstavlja razmerje podizvajalstva, ki zahteva soglasje in obdelavo naročila v smislu čl. 28 GDPR, če se vzdrževanje in testiranje nanašata na IT sisteme, ki se uporabljajo tudi v povezavi s zagotavljanjem storitev za naročnika, in če je med vzdrževanjem mogoče dostopati do osebnih podatkov, obdelanih v imenu naročnika.

10. Obveznost zaupnosti in tajnosti

1. Obe strani se zavezujeta, da bodo vsi podatki, ki jih sprejmeta v zvezi z izvedbo te pogodbe, obravnavani kot zaupni za neomejeno dobo in se bodo uporabljali samo za izvedbo pogodbe.
2. Nobena od strank ni upravičena do uporabe teh podatkov, v celoti ali delno, za druge namene kot so omenjeni ali da bi te podatke posredoval tretjim osebam. Zgornja določba ne velja za revizije v okviru obdelave naročila.
3. Zgornje obveznosti v (1) in (2) se ne nanašajo na podatke, ki jih je ena od strank dokazano prejela od tretjih oseb brez obveznosti ohranjanja zaupnosti, ali ki so javno znani.
4. Izvajalec je dolžan ohraniti zaupnost pri obdelavi podatkov in informacij, ki jih prejme ali se jih zaveda v povezavi z naročilom. Izvajalec se zavezuje da upošteva enaka pravila zaupnosti kot tista, ki jih ima naročnik. Naročnik je dolžan obvestiti izvajalca o posebnih pravilih zaupnosti.
5. Izvajalec zagotavlja, da pozna veljavne predpise o varstvu podatkov in je seznanjen z njihovo uporabo. Izvajalec tudi zagotavlja, da bo svoje zaposlene seznanil z relevantnimi določbami o varstvu podatkov.
6. Izvajalec se zavezuje, da je dodatno zavezal zaposlene, ki sodelujejo pri izvajanju del, k ohranjanju zaupnosti, in jih obvestil o navodilih naročnika. Naročniku je na zahtevo treba predložiti dokaz te obveznosti s strani zaposlenih.

11. Varstvo pravic posameznikov

1. Izvajalec se mora zavezati stranki, da bo podprl njeno obveznost obravnave zahtevkov podatkovnih subjektov v skladu s členi 12-22 GDPR. Pri tem mora izvajalec zlasti zagotoviti, da so potrebni podatki brez odlašanja posredovani stranki, da lahko ta izpolni svoje obveznosti pod členom 12(3) GDPR. Izvajalec mora zlasti sprejeti potrebne ukrepe v skladu z navodili stranke.
2. V primeru, da posameznik kontaktira izvajalca, da bi uveljavil svoje pravice v zvezi s obdelavo svojih podatkov, mora izvajalec naročniku posredati ustrezne podatke.

12. Tehnični in organizacijski ukrepi za varnost podatkov

1. Izvajalec se zavezuje naročniku, da bo skladna s tehničnimi in organizacijskimi ukrepi, potrebnimi za skladnost z veljavnimi predpisi o varstvu podatkov. To vključuje zlasti zahteve čl. 32 GDPR.
2. Stanje tehničnih in organizacijskih ukrepov v času sklenitve pogodbe je dokumentirano na Tehnični in organizacijski ukrepi (TOU). Stranki se dogovorita, da so spremembe tehničnih in organizacijskih ukrepov morda potrebne za prilagoditev tehničnim in pravnim okoliščinam. Ukrepi, ki ne vplivajo neugodno na celovitost, zaupnost in razpoložljivost osebnih podatkov, lahko izvajalec izvede brez posvetovanja s stranko. Stranka lahko kadar koli ogled trenutne različice tehničnih in organizacijskih ukrepov, ki jih sprejme izvajalec, prek zgornje povezave.
3. Izvajalec mora redno in po potrebi preverjati učinkovitost sprejetih tehničnih in organizacijskih ukrepov ter na splošno posredovati podatke o potrebnih spremembah na relevantni strani.

13. Trajanje pogodbe; prekinitev

1. Trajanje te pogodbe ustreza trajanju glavne pogodbe. Določbe, ki urejajo navadno prekinitev glavne pogodbe, se uporabljajo ustrezno.
2. Naročnik je upravičen do izrednega prekinitve te pogodbe kadarkoli z dobrim razlogom. Dober razlog se šteje za naročnika zlasti, če

• izvajalec krši bistveno obveznost iz te pogodbe,
• izvajalec uporabi podatke naročnika za namen, ki ni dovoljen v skladu s to pogodbo,
• izvajalec ne izpelje navodila naročnika,
• izvajalec zavrne uveljavljanje pravic nadzora naročnika ali to znatno onemogoči, ali
• izvajalec angažira drugega izvajalca v nasprotju z določbami člena 9.

1. V primeru prekinitve te pogodbe je glavno pogodbo mogoče nadaljevati le, če je izključeno, da izvajalec obdeluje podatke naročnika. Ob dvomih se šteje, da je prekinitev glavne pogodbe tudi prekinitev te pogodbe, prekinitev te pogodbe pa se šteje tudi za prekinitev glavne pogodbe.

14. Odgovornost

Izvajalec je odgovoren v skladu s pravilami zakonske odgovornosti za vse škode, ki jih je stranka utrpela kot posledica krivdnih kršitev te pogodbe s strani izvajalca ali zakonskih obveznosti varstva podatkov, ki se jih neposredno nanaša na izvajalca. Druge omejitve odgovornosti, ki so se dogovorile med strankami (npr. v glavni pogodbi), se v zvezi s tem ne uporabljajo.

15. Prekinitev

1. Po prekinjenju pogodbe mora izvajalec izbrisati vse dokumente, podatke in rezultate obdelave ali uporabe, nastale v zvezi s pogodbenimi razmerji, ki so prišli v njegovo last. Brisanje je treba dokumentirati na ustrezen način.
2. Pravne obveznosti hrambe ali druge obveznosti hranjenja podatkov ostanejo nespremenjene. V primeru nosilcev podatkov morajo biti ti uničeni, če to zahteva naročnik, pri čemer je treba upoštevati najmanj raven varnosti 3 standarda ISO 21964-1 do 3; dokaz uničenja je treba predložiti naročniku.
3. Naročnik ima pravico preveriti, da je izvajalec v celoti in v skladu s pogodbo vrnil in izbrisal podatke. To je mogoče storiti tudi z inšpekcijo opreme za obdelavo podatkov na poslovnih prostorih izvajalca. Naročnik mora dati razumno napoved o kakršnemkoli na licu mesta pregledu.

16. Pravica do zadržanja

Stranki se dogovorita, da je pravica izvajalca do zadržanja v smislu člena 273 nemškega civilnega zakonika (BGB) izključena glede obdelanih podatkov in pripadajočih nosilcev podatkov.

17. Končne določbe

1. Če je last naročnika pri izvajalcu ogrožena z ukrepi tretjih oseb (npr. z zaplembo ali konfiskacijo), s stečajnim postopkom ali drugimi dogodki, mora izvajalec takoj obvestiti naročnika. Izvajalec mora takoj obvestiti upnike, da se podatki, ki so vključeni, obdelujejo v imenu naročnika.
2. Dodatni dogovori morajo biti v pisni obliki.
3. Če so posamezni deli te pogodbe neveljavni, to ne vpliva na veljavnost preostalih določb pogodbe. Stranki se zavezujeta, da nadomestita neveljavno določbo z zakonito dovolljeno določbo, ki je najbolj blizu namenu neveljavne določbe in najbolje izpolnjuje zahteve čl. 28 GDPR.
4. V primeru neskladij med to pogodbo in drugimi dogovori med strankami, zlasti glavno pogodbo in splošnimi pogoji poslovanja, imajo določbe te pogodbe prednost.
5. Ta pogodba je pripeta na splošne pogoje poslovanja in je neločljiv del pogodbenih dogovorov med strankami. Posebna izjava namere strank za zaključek te pogodbe o obdelavi podatkov (npr. s podpisom) ni potrebna.