ข้อตกลงการประมวลผลคำสั่ง

ข้อตกลงการประมวลผลข้อมูล ("DPA") นี้จัดทำขึ้นระหว่างคู่สัญญาทั้งสองฝ่ายเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลภายใต้สัญญาหลัก (ต่อไปนี้จะเรียกว่า "สัญญาหลัก") การให้บริการภายใต้สัญญาหลัก (“บริการ”) จำเป็นต้องมีการประมวลผลข้อมูล หากและในขอบเขตที่ข้อมูลดังกล่าวประกอบด้วยหรือมีข้อมูลส่วนบุคคล ผู้ประมวลผลข้อมูลจะทำหน้าที่เป็นผู้ประมวลผลข้อมูลเกี่ยวกับข้อมูลดังกล่าว ในขณะที่ผู้ควบคุมยังคงเป็นผู้ควบคุมข้อมูลดังกล่าวตามมาตรา 28 ของกฎระเบียบคุ้มครองข้อมูลทั่วไป (ต่อไปนี้จะเรียกว่า "GDPR")

บริการนี้จัดทำโดยผู้ประมวลผลข้อมูลในลักษณะที่ผู้ควบคุมให้ข้อมูลของตนเอง ควบคุมการส่งข้อมูลไปยังผู้ประมวลผลข้อมูล และในกรณีของโมเดลซอฟต์แวร์ในฐานะบริการ (SaaS) จะควบคุมการจัดการข้อมูลดังกล่าวที่อัปโหลดไปยังบริการโดยตรง ผู้ควบคุมตกลงและเข้าใจว่าผู้ประมวลผลข้อมูลไม่ได้ตรวจสอบข้อมูลของผู้ควบคุมข้อมูลหรือการจัดการข้อมูลดังกล่าวของผู้ควบคุม เว้นแต่ผู้ควบคุมจะร้องขอการเข้าถึงข้อมูลดังกล่าวจากผู้ประมวลผลข้อมูลโดยเฉพาะ ดังนั้นจึงเป็นความรับผิดชอบและภาระผูกพันของผู้ควบคุมแต่เพียงผู้เดียวเพื่อให้แน่ใจว่าข้อมูลของผู้ควบคุมถูกรวบรวมและถ่ายโอนตามกฎหมายคุ้มครองข้อมูลที่บังคับใช้และโดยเฉพาะอย่างยิ่งว่ามีพื้นฐานทางกฎหมายสำหรับเรื่องนี้และเจ้าของข้อมูลได้รับแจ้งอย่างถูกต้องเกี่ยวกับการรวบรวมและการประมวลผลข้อมูลส่วนบุคคลของพวกเขา

ในฐานะผู้ประมวลผลข้อมูล ผู้ประมวลผลข้อมูลจะประมวลผลข้อมูลส่วนบุคคลของผู้ควบคุมตามข้อกำหนดของข้อตกลงการประมวลผลข้อมูล (DPA) นี้และคำแนะนำที่เป็นเอกสารของผู้ควบคุมเท่านั้น หากผู้ประมวลผลข้อมูลถูกกำหนดโดยกฎหมายของสหภาพหรือกฎหมายของประเทศสมาชิกที่อยู่ภายใต้การประมวลผลข้อมูลส่วนบุคคลเพิ่มเติม ผู้ประมวลผลข้อมูลจะต้องแจ้งให้ผู้ควบคุมทราบถึงข้อกำหนดทางกฎหมายเหล่านั้นก่อนที่จะประมวลผล เว้นแต่กฎหมายที่เกี่ยวข้องจะห้ามไม่ให้มีการแจ้งเตือนดังกล่าวโดยคำนึงถึงประโยชน์สาธารณะที่สำคัญ ในกรณีหลัง ผู้ประมวลผลข้อมูลจะแจ้งให้ผู้ควบคุมทราบถึงการประมวลผลเพิ่มเติมทันทีที่ได้รับอนุญาตตามกฎหมาย ผู้ประมวลผลข้อมูลจะต้องรับรองและตรวจสอบอย่างสม่ำเสมอว่าการประมวลผลข้อมูลส่วนบุคคลภายในขอบเขตความรับผิดชอบของตน รวมถึงผู้ประมวลผลย่อยใด ๆ ที่มีส่วนร่วมนั้นดำเนินการตามบทบัญญัติของ DPA นี้ กฎหมายคุ้มครองข้อมูลที่บังคับใช้ และโดยเฉพาะอย่างยิ่ง GDPR

รายละเอียดของการประมวลผลมีการอธิบายไว้ในข้อกำหนดต่อไปนี้และในสัญญาหลัก โดยคำนึงถึงภาระหน้าที่ของตนในฐานะผู้ควบคุม ผู้ควบคุมจะแจ้งให้ผู้ประมวลผลทราบหากจำเป็นต้องเสริมข้อกำหนดที่กำหนดไว้ในสัญญาหลัก

ผู้ประมวลผลจะประมวลผลข้อมูลส่วนบุคคลตามที่อธิบายไว้ในสัญญาหลัก

โดยทั่วไปผู้ประมวลผลจะประมวลผลข้อมูลส่วนบุคคลตลอดระยะเวลาของสัญญาหลักและข้อตกลงการประมวลผลสัญญานี้ เว้นแต่จะตกลงเป็นอย่างอื่นเป็นลายลักษณ์อักษร

ผู้ประมวลผลประมวลผลข้อมูลส่วนบุคคลเฉพาะในสถานที่ของตนเองหรือในสถานที่ของผู้ประมวลผลย่อยที่ได้รับอนุญาต โดยทั่วไปการดำเนินการประมวลผลทั้งหมดจะดำเนินการในประเทศสมาชิกของสหภาพยุโรปหรือในรัฐอื่นที่เป็นภาคีของข้อตกลงเขตเศรษฐกิจยุโรป

การประมวลผลข้อมูลส่วนบุคคลใดๆ นอก EU/EEA จะได้รับอนุญาตเฉพาะเมื่อมีข้อตกลงล่วงหน้าระหว่างคู่สัญญา และเฉพาะเมื่อเป็นไปตามข้อกำหนดของมาตรา 44 และภาคผนวก เป็นไปตาม GDPR

คู่สัญญาตกลงว่า DPA นี้มีคำแนะนำทั่วไปของผู้ควบคุมเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลในนามของผู้ประมวลผล

คำแนะนำเฉพาะใด ๆ จากผู้ควบคุมที่เบี่ยงเบนไปจากข้อกำหนดของข้อตกลงการประมวลผลข้อมูลนี้หรือกำหนดภาระผูกพันใหม่เพิ่มเติมเกี่ยวกับตัวประมวลผลต้องได้รับความยินยอมจากตัวประมวลผลจึงจะมีผล สำหรับคำแนะนำเฉพาะดังกล่าว คู่สัญญาทั้งสองฝ่ายจะใช้ขั้นตอนการแก้ไขที่ได้ตกลงไว้ในสัญญาหลัก ถ้ามี

เป็นความรับผิดชอบของผู้ควบคุมเพื่อให้แน่ใจว่าคำแนะนำที่ให้เกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลในนามของผู้ควบคุมเป็นไปตามกฎหมายคุ้มครองข้อมูลที่บังคับใช้และผู้ประมวลผลสามารถประมวลผลข้อมูลส่วนบุคคลตามคำแนะนำเหล่านั้นโดยไม่ละเมิดกฎหมายคุ้มครองข้อมูลที่บังคับใช้ โดยเฉพาะอย่างยิ่ง GDPR หากผู้ประมวลผลเชื่อว่าคำสั่งจากผู้ควบคุมละเมิดกฎหมายคุ้มครองข้อมูลที่เกี่ยวข้อง ผู้ประมวลผลจะแจ้งให้ผู้ควบคุมทราบตามนั้น ในกรณีเช่นนี้ ผู้ประมวลผลมีสิทธิ์ที่จะปฏิเสธที่จะปฏิบัติตามคำสั่งจนกว่าผู้ควบคุมจะยืนยัน

คำแนะนำเฉพาะจากผู้รับผิดชอบจะต้องได้รับเป็นลายลักษณ์อักษรหรืออย่างน้อยก็ในรูปแบบข้อความโดยบุคคลที่ได้รับอนุญาตให้ดำเนินการในนามของผู้รับผิดชอบ คำแนะนำที่ให้ด้วยวาจาจะต้องได้รับการยืนยันทันทีโดยหนึ่งในผู้ที่ได้รับอนุญาตและอย่างน้อยก็ในรูปแบบข้อความจึงจะมีประสิทธิภาพ

พนักงานของผู้ประมวลผลข้อมูล: (i) ในขอบเขตที่พวกเขาได้รับอนุญาตให้ประมวลผลข้อมูลส่วนบุคคล มีหน้าที่ในการรักษาความลับ หรืออยู่ภายใต้หน้าที่ทางกฎหมายที่เหมาะสมในการรักษาความลับ; (ii) ประมวลผลข้อมูลส่วนบุคคลตามคำแนะนำของผู้ประมวลผลข้อมูลเท่านั้น เว้นแต่จะมีภาระผูกพันในการประมวลผลเป็นอย่างอื่นภายใต้กฎหมายคุ้มครองข้อมูลที่บังคับใช้ และ (iii) จะได้รับแจ้งอย่างสม่ำเสมอเกี่ยวกับภาระผูกพันภายใต้ DPA นี้และกฎหมายคุ้มครองข้อมูลที่บังคับใช้ โดยเฉพาะอย่างยิ่ง GDPR

ผู้ประมวลผลข้อมูลไม่สามารถทำสำเนาหรือทำซ้ำข้อมูลส่วนบุคคลที่ประมวลผลในนามของผู้ควบคุมโดยไม่ได้รับความยินยอมล่วงหน้าจากผู้ควบคุม ไม่รวมสำเนาที่จำเป็นเพื่อให้แน่ใจว่ามีการประมวลผลข้อมูลที่เหมาะสมและการให้บริการที่เหมาะสม (รวมถึงการสำรองข้อมูล) รวมถึงสำเนาที่จำเป็นต่อการปฏิบัติตามภาระผูกพันในการเก็บรักษาทางกฎหมาย

ผู้ประมวลผลจะแต่งตั้งเจ้าหน้าที่ปกป้องข้อมูลที่มีความรู้และเชื่อถือได้ หากและตราบใดที่ยังมีข้อกำหนดทางกฎหมายสำหรับการแต่งตั้งเจ้าหน้าที่ปกป้องข้อมูล โปรเซสเซอร์จะให้รายละเอียดการติดต่อของเจ้าหน้าที่ปกป้องข้อมูลที่ได้รับการแต่งตั้งแก่ผู้ควบคุม

ก่อนเริ่มการประมวลผล ผู้ประมวลผลข้อมูลจะดำเนินการดังต่อไปนี้ www.fitness-nation.com/support/tom.html มาตรการทางเทคนิคและองค์กรที่ระบุไว้และรักษาไว้ตลอดระยะเวลาทั้งหมดของข้อตกลงการประมวลผลคำสั่งซื้อนี้ มาตรการด้านเทคนิคและองค์กรเหล่านี้ได้รับการออกแบบมาเพื่อให้แน่ใจว่าระดับความปลอดภัยเหมาะสมกับความเสี่ยงในแง่ของการรักษาความลับ ความสมบูรณ์ ความพร้อมใช้งาน และความยืดหยุ่นของระบบ ต้องคำนึงถึงความทันสมัย ​​ค่าใช้จ่ายในการดำเนินการ ตลอดจนลักษณะ ขอบเขต บริบท และวัตถุประสงค์ของการประมวลผล ตลอดจนโอกาสและความรุนแรงที่แตกต่างกันของความเสี่ยงต่อสิทธิและเสรีภาพของบุคคลธรรมดาตามความหมายของ GDPR มาตรา 32 วรรค 1

เนื่องจากมาตรการทางเทคนิคและองค์กรขึ้นอยู่กับความก้าวหน้าทางเทคนิคและการพัฒนาทางเทคโนโลยี ผู้ประมวลผลข้อมูลจึงได้รับอนุญาตให้ใช้มาตรการทางเลือกและที่เหมาะสม โดยมีเงื่อนไขว่าจะไม่ส่งผลให้มาตรฐานความปลอดภัยไม่ต่ำกว่าที่กำหนดไว้ด้านล่าง www.fitness-nation.com/support/tom.html ระบุไว้

ผู้ประมวลผลข้อมูลสามารถว่าจ้างผู้ประมวลผลย่อยเพื่อประมวลผลข้อมูลส่วนบุคคลในนามของผู้ควบคุมเท่านั้นโดยได้รับความยินยอมล่วงหน้าจากผู้ควบคุม ผู้รับผิดชอบยินยอมให้ใช้สิ่งต่อไปนี้ www.fitness-nation.com/support/subunternehmen.html โปรเซสเซอร์ย่อยที่ระบุไว้

ผู้ประมวลผลข้อมูลกำหนดภาระหน้าที่ในการปกป้องข้อมูล ความลับ และความปลอดภัยของข้อมูลของผู้ประมวลผลย่อยแต่ละราย ซึ่งอย่างน้อยเข้มงวดเท่ากับภาระหน้าที่ของผู้ประมวลผลข้อมูลต่อผู้ควบคุมที่กำหนดไว้ในข้อตกลงการประมวลผลนี้ หากผู้ประมวลผลย่อยไม่ปฏิบัติตามภาระผูกพันเหล่านี้ ผู้ประมวลผลข้อมูลจะต้องรับผิดชอบต่อการละเมิดเหล่านี้เสมือนว่าเป็นความผิดของตนเอง

ผู้ประมวลผลจะต้องแจ้งให้ผู้ควบคุมทราบเป็นลายลักษณ์อักษรถึงการมีส่วนร่วมครั้งใหม่ของผู้ประมวลผลช่วง หากผู้ควบคุมคัดค้านการมอบหมายภายในสามสิบ (30) วันหลังจากได้รับการแจ้งเตือนดังกล่าว โดยอ้างถึงเหตุผลที่เป็นไปได้ คู่สัญญาทั้งสองฝ่ายจะแสวงหาแนวทางแก้ไขที่เป็นมิตร ในกรณีเช่นนี้ หากไม่พบวิธีแก้ปัญหาที่เป็นมิตรภายในสอง (2) เดือน ผู้ควบคุมมีสิทธิ์ที่จะยกเลิกสัญญาหลักที่เกี่ยวข้องกับบริการเหล่านั้นซึ่งจำเป็นต้องมีการมีส่วนร่วมของผู้ประมวลผลย่อยที่เสนอ

คู่สัญญาตกลงว่าผู้ให้บริการเพียงบริการเสริมไม่ใช่ผู้ประมวลผลข้อมูลตามความหมายของกฎหมายคุ้มครองข้อมูล ซึ่งรวมถึงบริการขนส่งโดยเฉพาะอย่างยิ่งบริการไปรษณีย์หรือบริการจัดส่ง เช่นเดียวกับบริการขนส่งเงินสด บริการโทรคมนาคม บริการรักษาความปลอดภัย และบริการทำความสะอาด โดยไม่คำนึงถึงสิ่งที่กล่าวมาข้างต้น ผู้ประมวลผลข้อมูลจะทำข้อตกลงการรักษาความลับตามมาตรฐานอุตสาหกรรมกับผู้รับเหมาช่วงดังกล่าว

ข้อกำหนดของส่วนที่ 7 นี้ยังใช้บังคับหากผู้ประมวลผลย่อยมีส่วนร่วมในประเทศที่สามนอกสหภาพยุโรปหรือ EEA ภายใต้ความยินยอมของผู้ควบคุมต่อการใช้โปรเซสเซอร์ย่อย ผู้ควบคุมอนุญาตให้ผู้ประมวลผลทำสัญญาในนามของผู้ควบคุมกับผู้ประมวลผลย่อยที่ประมวลผลข้อมูลของผู้ควบคุมนอกสหภาพยุโรปหรือ EEA โดยรวมข้อสัญญามาตรฐานของสหภาพยุโรปสำหรับการถ่ายโอนข้อมูลส่วนบุคคลไปยังโปรเซสเซอร์ในประเทศที่สามจาก 5 กุมภาพันธ์ 2010 หรือหากเกี่ยวข้อง ข้อกำหนดมาตรฐานด้านการคุ้มครองข้อมูลซึ่งคณะกรรมาธิการสหภาพยุโรปหรือหน่วยงานกำกับดูแลที่เกี่ยวข้องนำมาใช้ในภายหลัง

เมื่อมีการร้องขอเป็นลายลักษณ์อักษรจากผู้ควบคุม ผู้ประมวลผลจะให้ความช่วยเหลือที่เหมาะสมแก่ผู้ควบคุมในกรณีของการสอบสวนหรือการร้องขอโดยหน่วยงานกำกับดูแลการปกป้องข้อมูล ในขอบเขตที่การสอบสวนหรือการร้องขอดังกล่าวเกี่ยวข้องกับบริการ ผู้ประมวลผลจะต้องให้ความช่วยเหลือตามสมควรแก่ผู้ควบคุมในการปฏิบัติตามภาระผูกพันทั้งหมดที่เกี่ยวข้องกับการสอบสวนหรือการร้องขอดังกล่าว หากหน่วยงานกำกับดูแลการปกป้องข้อมูลเริ่มต้นการสอบสวนโดยตรงกับผู้ประมวลผลหรือร้องขอที่เกี่ยวข้องโดยตรงกับผู้ประมวลผล ผู้ประมวลผลจะต้องแจ้งผู้ควบคุมทันทีตามขอบเขตที่ได้รับอนุญาต และให้ความร่วมมือกับการสอบสวนหรือการร้องขอดังกล่าว

ผู้ประมวลผลจะต้องแจ้งให้ผู้ควบคุมทราบโดยไม่ชักช้าโดยไม่สมควรหากพบการละเมิดข้อมูลส่วนบุคคลที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลภายใต้ข้อตกลงการประมวลผลข้อมูลนี้ หากเป็นผลมาจากการแจ้งเตือนดังกล่าว ผู้ควบคุมจะต้องรายงานภาระหน้าที่ต่อหน่วยงานกำกับดูแลการปกป้องข้อมูลและ/หรือเจ้าของข้อมูล (โดยเฉพาะอย่างยิ่งภายใต้มาตรา 33 และ 34 ของ GDPR) ผู้ประมวลผลจะต้องให้ความช่วยเหลือที่เหมาะสมและจำเป็นแก่ผู้ควบคุมในการปฏิบัติตามภาระหน้าที่ในการรายงานเหล่านี้ ในขอบเขตที่ผู้ประมวลผลไม่รับผิดชอบต่อการละเมิดข้อมูลที่รายงานได้ ผู้ประมวลผลมีสิทธิ์ที่จะเรียกเก็บเงินสำหรับบริการสนับสนุนตามอัตราค่าตอบแทนที่ตกลงไว้ในสัญญาหลัก

ผู้ประมวลผลจะต้องช่วยเหลือผู้ควบคุมโดยคำนึงถึงลักษณะของการประมวลผลและข้อมูลที่มีให้กับผู้ประมวลผลในการประเมินผลกระทบการปกป้องข้อมูลใด ๆ ที่ผู้ควบคุมอาจต้องดำเนินการเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคล รวมถึงการปรึกษาหารือกับหน่วยงานกำกับดูแลการปกป้องข้อมูลที่เกี่ยวข้องตามความเหมาะสม (มาตรา 35 และ 36 GDPR) ผู้ประมวลผลมีสิทธิ์เรียกเก็บค่าบริการสนับสนุนตามอัตราค่าตอบแทนที่ตกลงไว้ในสัญญาหลัก

ผู้ประมวลผลจะต้องแจ้งให้ผู้ควบคุมทราบโดยไม่ชักช้าโดยไม่สมควรหากเจ้าของข้อมูลติดต่อผู้ประมวลผลโดยตรงเพื่อยื่นเรื่องร้องเรียน ร้องขอ หรือใช้สิทธิ์ของตน ผู้ประมวลผลไม่ตอบสนองต่อคำขอเว้นแต่ผู้ควบคุมได้สั่งให้ผู้ประมวลผลดำเนินการดังกล่าวอย่างชัดแจ้ง ผู้ประมวลผลจะต้องให้ความช่วยเหลือที่เหมาะสมแก่ผู้ควบคุมในการตอบสนองต่อข้อร้องเรียน การสอบถาม และการร้องขอจากเจ้าของข้อมูล ผู้ประมวลผลมีสิทธิ์เรียกเก็บเงินสำหรับการสนับสนุนตามอัตราค่าตอบแทนที่ตกลงไว้ในสัญญาหลัก

ตามคำแนะนำที่สมเหตุสมผลจากผู้ควบคุม ในช่วงระยะเวลาของข้อตกลงการประมวลผลข้อมูล (DPA) นี้ หรือหลังจากการยุติหรือยุติการประมวลผลข้อมูลส่วนบุคคลภายใต้ข้อตกลงเฉพาะที่เกี่ยวข้อง ผู้ประมวลผลจะทำลาย ลบ หรือส่งคืนข้อมูลที่ประมวลผลในนามของผู้ควบคุม หากกฎหมายที่บังคับใช้ป้องกันไม่ให้ผู้ประมวลผลทำลาย ลบ หรือส่งคืนข้อมูลส่วนบุคคลที่ประมวลผลในนามของผู้ควบคุม ผู้ประมวลผลจะยังคงหยุดการประมวลผลข้อมูลดังกล่าวอย่างแข็งขัน แต่จะยังคงจัดเก็บข้อมูลเหล่านี้ไว้เพื่อให้เป็นไปตามข้อกำหนดทางกฎหมายเท่านั้น โดยเฉพาะอย่างยิ่งภาระผูกพันในการเก็บรักษาทางกฎหมาย และจะทำลาย ลบ หรือส่งคืนข้อมูลดังกล่าวให้กับผู้ควบคุมทันทีที่อุปสรรคทางกฎหมายไม่มีอีกต่อไป ตามคำแนะนำเดิมของผู้ควบคุม

โปรเซสเซอร์จะสร้างหลักฐานการทำลายหรือการลบข้อมูลส่วนบุคคล ซึ่งผู้ควบคุมจะได้รับเมื่อมีการร้องขอ

ผู้ควบคุมมีสิทธิ์ในช่วงเวลาทำการปกติ (วันจันทร์ถึงวันศุกร์ตั้งแต่ 9.00 น. ถึง 17.00 น.) โดยออกค่าใช้จ่ายเอง โดยไม่กระทบต่อการดำเนินงานและปฏิบัติตามการรักษาความลับทางการค้าและความลับทางการค้าของผู้ประมวลผลอย่างเคร่งครัด เพื่อเข้าไปในสถานที่ของผู้ประมวลผลที่ข้อมูลของผู้ควบคุมได้รับการประมวลผล เพื่อตรวจสอบการปฏิบัติตามข้อตกลงการประมวลผลคำสั่งนี้ โดยทั่วไปผู้ควบคุมจะแจ้งให้ทราบล่วงหน้าอย่างเพียงพอ (อย่างน้อยสองสัปดาห์ล่วงหน้า) เกี่ยวกับการตรวจสอบ ณ สถานที่ดังกล่าว

ตามกฎแล้ว ผู้รับผิดชอบมีสิทธิ์ได้รับการตรวจสอบนอกสถานที่หนึ่งครั้งต่อปีปฏิทิน ตามที่กล่าวไว้ในย่อหน้าก่อนหน้า สิ่งนี้ไม่ส่งผลกระทบต่อสิทธิ์ของผู้ควบคุมในการดำเนินการตรวจสอบนอกสถานที่เพิ่มเติมในกรณีที่มีเหตุการณ์พิเศษ

หากผู้ควบคุมมอบหมายให้บุคคลที่สามดำเนินการตรวจสอบ ผู้ควบคุมจะต้องกระทำต่อบุคคลที่สามเป็นลายลักษณ์อักษรในขอบเขตเดียวกับที่ผู้ควบคุมมีหน้าที่ต่อผู้ประมวลผลภายใต้ข้อตกลงการประมวลผลข้อมูลนี้ นอกจากนี้ ผู้รับผิดชอบจะต้องมอบหมายให้บุคคลที่สามรักษาความลับและความลับ เว้นแต่บุคคลที่สามจะต้องปฏิบัติตามข้อผูกพันทางวิชาชีพในการรักษาความลับ ตามคำร้องขอของผู้ประมวลผล ผู้ควบคุมจะต้องจัดเตรียมข้อตกลงการรักษาความลับกับบุคคลที่สามแก่ผู้ประมวลผลทันที ผู้รับผิดชอบไม่สามารถมอบหมายให้คู่แข่งของผู้ประมวลผลดำเนินการทดสอบได้

แทนที่จะมีการตรวจสอบนอกสถานที่ อาจจัดให้มีหลักฐานการปฏิบัติตาม DPA นี้ผ่านการปฏิบัติตามหลักจรรยาบรรณที่ได้รับอนุมัติตามมาตรา 40 ของ GDPR การรับรองภายใต้กลไกการรับรองที่ได้รับอนุมัติตามมาตรา 42 ของ GDPR หรือโดยการจัดเตรียมใบรับรองปัจจุบัน รายงาน หรือข้อความที่คัดมาจากรายงานจากหน่วยงานอิสระที่เหมาะสม (เช่น ผู้ตรวจสอบภายใน เจ้าหน้าที่คุ้มครองข้อมูล แผนกรักษาความปลอดภัยด้านไอที ผู้ตรวจสอบด้านการคุ้มครองข้อมูล หรือผู้ตรวจสอบคุณภาพ) หรือการรับรองที่เหมาะสมผ่านทางระบบรักษาความปลอดภัยด้านไอที หรือการตรวจสอบการคุ้มครองข้อมูล - เช่น B. ตามมาตรฐาน ISO 27001 - ("รายงานการทดสอบ") โดยมีเงื่อนไขว่ารายงานการทดสอบจะทำให้ผู้ควบคุมพอใจกับการปฏิบัติตาม DPA นี้อย่างสมเหตุสมผล

หากและในขอบเขตที่การตรวจสอบในสถานที่ไม่ได้เกิดจากการประพฤติมิชอบในส่วนของผู้ประมวลผล ผู้ประมวลผลมีสิทธิที่จะเรียกเก็บค่าใช้จ่ายที่เกิดขึ้นระหว่างการตรวจสอบในสถานที่ตามอัตราค่าตอบแทนที่ตกลงไว้ในสัญญาหลัก

ข้อกำหนดและเงื่อนไขทั่วไปเหล่านี้อยู่ภายใต้กฎหมายเดียวกันกับสัญญาหลัก และศาลที่ตกลงกันโดยคู่สัญญาในสัญญาหลักจะมีเขตอำนาจในการตัดสินคดีแต่เพียงผู้เดียวเหนือข้อพิพาทใดๆ ที่เกิดขึ้นจากหรือเกี่ยวข้องกับข้อกำหนดและเงื่อนไขทั่วไปเหล่านี้

การเปลี่ยนแปลงหรือเพิ่มเติมกฎระเบียบการบริหารทั่วไปเหล่านี้จะมีผลเฉพาะเมื่อมีการจัดทำเป็นลายลักษณ์อักษรเท่านั้น

หากข้อกำหนดใด ๆ ของข้อกำหนดและเงื่อนไขเหล่านี้ถือว่าไม่ถูกต้องหรือไม่สามารถบังคับใช้ได้โดยศาลที่มีเขตอำนาจศาลที่มีเขตอำนาจ ข้อกำหนดที่เหลือจะยังคงมีผลใช้บังคับอย่างสมบูรณ์

ข้อตกลงการประมวลผลข้อมูล (DPA) นี้มีผลบังคับใช้เมื่อมีการสรุปสัญญาหลักโดยถือเป็นส่วนสำคัญของข้อตกลงดังกล่าว ยังคงมีผลบังคับใช้โดยไม่คำนึงถึงการสิ้นสุดระยะเวลาของสัญญาหลักจนกระทั่งและหมดอายุโดยอัตโนมัติทันทีที่ข้อมูลส่วนบุคคลทั้งหมดถูกลบโดยผู้ประมวลผลข้อมูลและ/หรือผู้ประมวลผลย่อยที่ได้รับมอบหมายทั้งหมด