3 priedas

1. Duomenų tvarkymo nurodymas

Duomenų tvarkytojas duomenų valdytojo vardu asmens duomenų tvarkymo metu atlieka šiuos veiksmus:

[Aprašykite duomenų tvarkymą, kurį duomenų tvarkytojui pavesta atlikti].

2. Duomenų tvarkymo saugumas

Apsaugos lygis nustatomas atsižvelgiant į:

[Išsamiai aprašykite, atsižvelgiant į duomenų tvarkymo veiklos pobūdį, apimtį, kontekstą ir tikslus, taip pat į pavojų fizinių asmenų teisėms ir laisvėms. Apibūdinkite dalis, kurios yra svarbios saugumo lygiui.]

[PAVYZDYS. Atsižvelgiant į tai, kad duomenų tvarkymas yra susijęs su dideliu asmens duomenų kiekiu, kuriam taikomas Reglamento (ES) 2016/679 9 straipsnis dėl specialių asmens duomenų kategorijų, turėtų būti nustatytas „aukštas“ saugumo lygis].

Duomenų tvarkytojas turi teisę ir privalo priimti sprendimus dėl techninių ir organizacinių saugumo priemonių naudojimo užtikrinti reikiamą (ir suderintą) duomenų saugumo lygį.

Tačiau duomenų tvarkytojas bet kuriuo atveju įgyvendina šias su duomenų valdytoju suderintas priemones [PASTABA. Šis sąrašas turi būti tiek detalus, kad duomenų valdytojas turėtų galimybę įvertinti priemonių tinkamumą atskaitomybės pareigai užtikrinti. Šalys turėtų svarstyti įtraukti asmens duomenų tvarkymui naudojamos programinės įrangos saugumo priemonių aprašymus]:

[Aprašykite, kokias technines ir (ar) organizacines saugumo priemones turi taikyti duomenų tvarkytojas, įskaitant atitiktį konkretiems standartams, rekomendacijoms ar kitoms gerosioms praktikoms, tvarkydamas asmens duomenis pagal Sąlygas].

[Jei taikoma: aprašykite asmens duomenų pseudonimizavimo ir šifravimo reikalavimus].

[Aprašykite reikalavimus, užtikrinančius nuolatinį duomenų tvarkymo sistemų ir paslaugų konfidencialumą, vientisumą, prieinamumą ir atsparumą].

[Aprašykite reikalavimus, susijusius su galimybe laiku atkurti prieinamumą ir prieigą prie asmens duomenų, įvykus fiziniam ar techniniam įvykiui].

[Aprašykite reikalavimus, taikomus reguliariam testavimui, įvertinimui ir techninių bei organizacinių priemonių, užtikrinančių duomenų tvarkymo saugumą, efektyvumo nustatymui].

[Apibūdinkite prieigai, įskaitant nuotolines prieigas, prie asmens duomenų keliamus reikalavimus].

[Aprašykite asmens duomenų apsaugai keliamus reikalavimus duomenų perdavimo metu].

[Aprašykite asmens duomenų apsaugai keliamus reikalavimus jų saugojimo metu].

[Aprašykite reikalavimus, keliamus fiziniam saugumui vietose, kuriose tvarkomi asmens duomenys].

[Aprašykite reikalavimus, keliamus darbui namuose/nuotoliniam darbui].

3. Pagalba duomenų valdytojui

Duomenų tvarkytojas, kiek tai įmanoma ir atsižvelgiant į toliau nurodytą pagalbos sritį bei apimtį, padeda duomenų valdytojui pagal Sąlygų 26–28 punktus įgyvendinti šias technines bei organizacines priemones:

[Aprašykite duomenų tvarkytojo teikiamos pagalbos apimtį ir mastą].

[Aprašykite konkrečias technines ir organizacines priemones, kurių turi imtis duomenų tvarkytojas, norėdamas padėti duomenų valdytojui].

[PASTABA. Ši dalis turi padėti duomenų tvarkytojui imtis tam tikrų priemonių, jei kiltų bent viena iš šių aplinkybių, pavyzdžiui, Sąlygose neaprašytų veiksmų, kurių turi būti imamasi, ar procedūros, kurių turi būti laikomasi, siekiant padėti duomenų valdytojui pranešti apie asmens duomenų saugumo pažeidimus, atlikti poveikio duomenų apsaugai vertinimus, įgyvendinti duomenų subjekto teises, padėti susijusiuose audituose ir kt.]

[PAVYZDŽIAI. „Duomenų subjektų prašymai turi būti nepagrįstai nedelsiant, bet ne vėliau nei [konkretus laikotarpis] nuo prašymo gavimo, persiųstas duomenų valdytojui [konkreti priemonė]“, „Atsakymai duomenų subjektams turi būti parengti pagal duomenų valdytojo nurodymus“, „įvykus asmens duomenų saugumo pažeidimui, duomenų tvarkytojas informuoja duomenų valdytoją, pateikdamas [konkreti informacija]“, „duomenų valdytojo prašymu duomenų tvarkytojas pateikia pagalbinio duomenų valdytojo asmens duomenų saugumo pažeidimų žurnalo išrašą [konkretus šio išrašo pateikimo būdas ir terminas]“, kt.].

4. Duomenų saugojimo laikotarpis/duomenų trynimo procedūros

[Nurodykite duomenų saugojimo laikotarpį/duomenų trynimo procedūras, skirtas duomenų tvarkytojui, jei taikoma, pavyzdžiui, kaip ir kokiais terminais duomenų tvarkytojas turi įrodyti asmens duomenų sunaikinimo faktą].

[PAVYZDYS NR.1. Asmens duomenys saugomi [nurodykite laikotarpį arba įvykį], po to duomenų tvarkytojas automatiškai ištrina asmens duomenis.

Nutraukęs asmens duomenų tvarkymo paslaugų teikimą, duomenų tvarkytojas [pasirinkite: ištrina arba grąžina] asmens duomenis, atsižvelgiant į Salygų 33 punkto reikalavimus, nebent pasirašęs Sąlygas duomenų valdytojas pakeičia pirminį duomenų valdytojo pasirinkimą. Atsižvelgiant į Sąlygas, tokie pakeitimai turi būti pagrįsti dokumentais].

[PAVYZDYS NR.2. Asmens duomenys saugomi [nurodykite laikotarpį arba įvykį], po to duomenų tvarkytojas automatiškai ištrina asmens duomenis.

Nutraukęs asmens duomenų tvarkymo paslaugų teikimą, originalius duomenų valdytojo duomenų tvarkytojui perduotus dokumentus grąžina duomenų valdytojui, o dokumentų kopijas ištrina ir patvirtina tai raštu, išskyrus atvejus, kai asmens duomenis saugoti įpareigoja teisės aktai. Duomenų tvarkytojas taip pat privalo informuoti Duomenų valdytoją apie tai, kokie asmens duomenys ar jų kopijos nėra ištrinami bei kokie teisės aktai tai reglamentuoja].

5. Duomenų tvarkymo vieta

Atsižvelgiant į Sąlygas, be išankstinio rašytinio duomenų valdytojo leidimo asmens duomenys negali būti tvarkomi kitose vietose, išskyrus šias:

[Nurodykite, kur duomenų tvarkymas yra atliekamas] [Nurodykite duomenų tvarkytojo arba pagalbinio duomenų tvarkytojo naudojamą adresą].

6. Nurodymai dėl asmens duomenų perdavimo į trečiąją valstybę ar tarptautinėms organizacijoms

[Aprašykite nurodymą dėl asmens duomenų perdavimo trečiajai valstybei ar tarptautinei organizacijai].

[Nurodykite teisinį duomenų perdavimo pagrindą pagal Reglamento (ES) 2016/679 V skyrių].

Jei duomenų valdytojas nenurodo Sąlygose arba vėliau nepateikia dokumentais pagrįstų nurodymų dėl asmens duomenų perdavimo į trečiąją valstybę ar tarptautinėms organizacijoms, duomenų tvarkytojas neturi teisės atlikti tokį perdavimą pagal šią Sąlygas.

7. Procedūros, skirtos duomenų valdytojo atliekamiems duomenų tvarkytojo asmens duomenų tvarkymo auditams, įskaitant patikrinimams vietoje

[Aprašykite procedūras, skirtas duomenų valdytojo atliekamiems duomenų tvarkytojo asmens duomenų tvarkymo auditams, įskaitant patikrinimams vietoje].

[PAVYZDYS NR. 1. „Duomenų tvarkytojas [nurodykite laikotarpį] [duomenų tvarkytojo/duomenų valdytojo] lėšomis gauna iš nepriklausomos duomenų valdytojo paskirtos trečiosios šalies [pasirinkti: auditoriaus ataskaitą; patikrinimo ataskaitą] apie tai, kaip duomenų tvarkytojas laikosi Reglamento (ES) 2016/679 reikalavimų, galiojančių Europos Sąjungos ar jos valstybės narės asmens duomenų apsaugos nuostatų ir Sąlygų.

Šalys susitarė, kad atsižvelgiant į Sąlygas, gali būti naudojami šie [pasirinkite: auditoriaus ataskaitos/ patikrinimo ataskaitos] tipai:

[Įrašykite patvirtintas auditoriaus ataskaitas/patikrinimo ataskaitas].

[Pasirinkite: auditoriaus ataskaita/patikrinimo ataskaita] nedelsiant turi būti pateikta susipažinimui duomenų valdytojui. Duomenų valdytojas gali užginčyti ataskaitos apimtį ir (arba) metodiką ir tokiais atvejais gali paprašyti atlikti naują [pasirinkite: auditą/patikrinimą] pagal pakeistą taikymo sritį ir (arba) kitokią metodiką.

Remdamasis tokio [pasirinkite: audito/patikrinimo] rezultatais, duomenų valdytojas gali paprašyti imtis papildomų priemonių, kad būtų užtikrinta atitiktis Reglamentui (ES) 2016/679, galiojančioms Europos Sąjungos ar jos valstybių narių asmens duomenų apsaugos nuostatoms ir Sąlygoms.

Be to, duomenų valdytojas arba duomenų valdytojo atstovas turi teisę patikrinti vietas, įskaitant atlikti jų fizinę apžiūrą, kuriose duomenų tvarkytojas tvarko asmens duomenis, įskaitant fizines priemones, taip pat sistemas, naudojamas ir susijusias su duomenų tvarkymu. Toks patikrinimas atliekamas tada, kai duomenų valdytojas mano, kad to reikia]“.

[PAVYZDYS NR. 2. „Duomenų valdytojas arba duomenų valdytojo atstovas [nurodykite laikotarpį] fiziškai patikrina tas vietas, kuriose duomenų tvarkytojas tvarko asmens duomenis, įskaitant fizines priemones, taip pat sistemas, naudojamas ir susijusias su duomenų tvarkymu, siekiant įsitikinti, ar duomenų tvarkytojas laikosi Reglamento (ES) 2016/679, galiojančių Europos Sąjungos ar jos valstybių narių asmens duomenų apsaugos nuostatų ir Sąlygų.

Be suplanuoto patikrinimo, duomenų valdytojas gali atlikti duomenų tvarkytojo patikrinimą, kai duomenų valdytojas mano, kad to reikia“].

8. [Jei taikoma] Procedūros, skirtos pagalbinių duomenų tvarkytojų atliekamų asmens duomenų tvarkymo auditams, įskaitant patikrinimams vietoje

[Aprašykite procedūras, skirtas duomenų valdytojo atliekamiems pagalbinių duomenų tvarkytojų asmens duomenų tvarkymo auditams, įskaitant patikrinimams vietoje].

[PAVYZDYS NR. 1. Duomenų tvarkytojas [nurodykite laikotarpį] [pasirinkite: duomenų tvarkytojo/duomenų valdytojo] lėšomis gauna iš nepriklausomos duomenų valdytojo paskirtos trečiosios šalies [pasirinkite: auditoriaus ataskaitą/patikrinimo ataskaitą] apie tai, kaip duomenų tvarkytojas laikosi Reglamento (ES) 2016/679 reikalavimų, galiojančių Europos Sąjungos ar jos valstybės narės duomenų apsaugos nuostatų ir Sąlygų.

Šalys susitarė, kad atsižvelgiant į Sąlygas gali būti naudojami šie [pasirinkite: auditoriaus ataskaitos/patikrinimo ataskaitos] tipai:

[įrašykite patvirtintas auditoriaus ir (ar) patikrinimo ataskaitas]

[Pasirinkite: auditoriaus ataskaita/patikrinimo ataskaita] nedelsiant turi būti pateikta susipažinimui duomenų valdytojui. Duomenų valdytojas gali užginčyti ataskaitos apimtį ir (arba) metodiką ir tokiais atvejais gali paprašyti atlikti naują [pasirinkite: auditą/patikrinimą] pagal pakeistą taikymo sritį ir (arba) kitokią metodiką.

Remdamasis tokio [pasirinkite: audito/patikrinimo] rezultatais, duomenų valdytojas gali paprašyti imtis papildomų priemonių, kad būtų užtikrinta atitiktis Reglamentui (ES) 2016/679 reikalavimams, galiojančių Europos Sąjungos ar jos valstybės narės duomenų apsaugos nuostatoms ir Sąlygoms.

Be to, duomenų tvarkytojas arba duomenų tvarkytojo atstovas turi teisę patikrinti vietas, įskaitant atlikti jų fizinę apžiūrą, kuriose pagalbinis duomenų tvarkytojas tvarko asmens duomenis, įskaitant fizines priemones, taip pat sistemas, naudojamas ir susijusias su duomenų tvarkymu. Toks patikrinimas atliekamas tada, kai duomenų tvarkytojas mano, kad to reikia.

Tokių patikrinimų dokumentai nedelsiant pateikiami duomenų valdytojui susipažinti. Duomenų valdytojas gali užginčyti ataskaitos apimtį ir (arba) metodiką ir tokiais atvejais gali paprašyti atlikti naują [pasirinkite: auditą/patikrinimą] pagal pakeistą taikymo sritį ir (arba) kitokią metodiką].

[PAVYZDYS NR. 2. Duomenų tvarkytojas arba duomenų tvarkytojo atstovas [nurodykite laikotarpį] fiziškai patikrina tas vietas, kuriose pagalbinis duomenų tvarkytojas tvarko asmens duomenis, įskaitant fizines priemones, taip pat sistemas, naudojamas ir susijusias su duomenų apdorojimu, siekiant įsitikinti, ar pagalbinis duomenų tvarkytojas laikosi Reglamento (ES) 2016/679, galiojančių Europos Sąjungos ar jos valstybių narių duomenų apsaugos nuostatų ir Sąlygų.

Be suplanuoto patikrinimo, duomenų valdytojas gali atlikti pagalbinio duomenų tvarkytojo patikrinimą, kai duomenų tvarkytojas mano, kad to reikia.

Tokių patikrinimų dokumentai nedelsiant pateikiami duomenų valdytojui susipažinti. Duomenų valdytojas gali užginčyti ataskaitos apimtį ir (arba) metodiką ir tokiais atvejais gali paprašyti atlikti naują [pasirinkti: auditą/patikrinimą] pagal pakeistą taikymo sritį ir (arba) kitokią metodiką.

Remdamasis tokio [pasirinkti: audito/patikrinimo] rezultatais, duomenų valdytojas gali paprašyti imtis papildomų priemonių, kad būtų užtikrinta atitiktis Reglamentui (ES) 2016/679, galiojančioms Europos Sąjungos ar jos valstybių narių duomenų apsaugos nuostatoms ir Sąlygoms].

[Papildomai prie Pavyzdžio Nr. 2, jei taikoma, nurodykite: jei reikia, duomenų valdytojas gali nuspręsti inicijuoti ir dalyvauti fiziniame pagalbinio duomenų tvarkytojo patikrinime. Tai gali būti taikoma, jei duomenų valdytojas mano, kad duomenų tvarkytojas, prižiūrintis pagalbinį duomenų tvarkytoją, duomenų valdytojui nepateikė pakankamai dokumentų, kad būtų galima nustatyti, ar pagalbinis duomenų tvarkytojas atlieka duomenų tvarkymą pagal Sąlygas.

Duomenų valdytojo dalyvavimas pagalbinio duomenų tvarkytojo patikrinime nekeičia fakto, kad nurodytam duomenų tvarkytojui ir toliau tenka visa atsakomybė už pagalbinio duomenų tvarkytojo atitiktį Reglamentui (ES) 2016/679, galiojančioms Europos Sąjungos ar jos valstybių narių duomenų apsaugos nuostatoms ir Sąlygoms].

[1] Sąlygose „valstybė narė“ suprantama kaip Europos Ekonominės Erdvės valstybė narė.

[2] PASTABA. Trečiosios valstybės reiškia valstybes ne Europos Ekonominės Erdvės teritorijoje.