1. Definiții
Toți termenii scriși cu majusculă care nu sunt definiți în prezentul Act adițional privind protecția datelor („DPA”) au semnificațiile stabilite în Acord.
- Afiliat înseamnă orice persoană sau entitate care controlează direct sau indirect, este controlată de sau se află sub control comun cu o Parte. În sensul prezentei definiții, „control” (inclusiv, cu înțelesuri corelative, termenii „controlează”, „controlat de” și „sub control comun cu”) înseamnă puterea de a gestiona sau dirija afacerile persoanei sau entității în cauză, fie prin deținerea de titluri de valoare cu drept de vot, prin contract sau în alt mod.
- Acord înseamnă Acordul de Servicii pentru Conturi Comerciale MuchBetter dintre MIR și Titularul de Cont, care implică accesul la Date cu Caracter Personal sau Prelucrarea în alt mod a acestora;
- Jurisdicție aprobată înseamnă un stat membru al SEE sau o altă jurisdicție care poate fi aprobată ca având protecții juridice adecvate pentru date de către Comisia Europeană sau de reglementările privind adecvarea din Regatul Unit emise în temeiul Secțiunii 17A din Legea privind protecția datelor din 2018 sau al alineatelor 4 și 5 din anexa 21 la Legea privind protecția datelor din 2018, după caz;
- Incident de încălcare înseamnă o încălcare a securității care duce la distrugerea, pierderea, modificarea, divulgarea neautorizată sau accesul neautorizat la date cu caracter personal transmise, stocate sau prelucrate în alt mod;
- Legile privind protecția datelor înseamnă orice și/sau toate legile, normele, directivele și reglementările interne și străine aplicabile referitoare la confidențialitatea datelor, securitatea datelor și/sau protecția Datelor cu Caracter Personal, inclusiv Directiva 2002/58/CE privind confidențialitatea și comunicațiile electronice (și legile locale de punere în aplicare respective) privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice (Directiva privind confidențialitatea și comunicațiile electronice), inclusiv orice modificări sau înlocuiri ale acestora, inclusiv Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 („GDPR”) și inclusiv Legea privind protecția datelor din 2018 și GDPR, așa cum fac parte din legislația Angliei și Țării Galilor, Scoției și Irlandei de Nord în temeiul secțiunii 3 din Legea Uniunii Europene (retragere) din 2018 („GDPR Regatul Unit”).
- SEE înseamnă acele țări care sunt membre ale Spațiului Economic European.
- MIR înseamnă MIR Limited UK Ltd, furnizor de servicii de cont pentru afaceri MuchBetter
- Date personale „Date cu caracter personal” înseamnă orice informație despre sau care poate fi legată de o persoană identificabilă. Acestea includ orice informație care poate fi legată de o persoană sau utilizată pentru a identifica direct sau indirect o persoană fizică. Datele cu caracter personal vor fi considerate Informații Confidențiale, indiferent de sursă.
- Proces înseamnă orice operațiune sau set de operațiuni efectuate asupra Datelor cu Caracter Personal, indiferent dacă se utilizează sau nu mijloace automate, cum ar fi colectarea, înregistrarea, organizarea, stocarea, adaptarea sau modificarea, accesarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod, alinierea sau combinarea, blocarea, ștergerea sau distrugerea. „Prelucrări” sau „Prelucrare” vor fi interpretate în consecință.
- Clauze contractuale standard sau „CSC” modulul aplicabil al clauzelor contractuale standard pentru transferul de date cu caracter personal către țări terțe în temeiul Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului din 4 iunie 2021, astfel cum poate fi modificat, înlocuit sau înlocuit periodic.
- Addendumul Regatului Unit înseamnă Addendumul privind transferul internațional de date la Clauzele Contractuale Standard, care a intrat în vigoare la 21 martie 2022.
2. Aplicarea prezentului DPA
- Acest DPA se va aplica numai în măsura în care sunt îndeplinite toate condițiile următoare:
- Oricare dintre Părți prelucrează Date cu Caracter Personal puse la dispoziție de cealaltă Parte în legătură cu Acordul;
- Legile privind protecția datelor se aplică prelucrării datelor cu caracter personal.
- Prezentul DPA se va aplica numai serviciilor asupra cărora Părțile au convenit în Acord și care include DPA prin referință.
3. Protecția datelor și confidențialitatea
- În măsura în care o Parte are acces la sau prelucrează în alt mod Date cu caracter personal puse la dispoziția celeilalte Părți, atunci această Parte va:
- Va fi un Operator independent al Datelor cu Caracter Personal și va determina scopurile și mijloacele de prelucrare în conformitate cu Acordul și Legile privind Protecția Datelor.
- Prelucrarea Datelor cu Caracter Personal numai în conformitate cu cerințele Legilor privind Protecția Datelor și, conform cerințelor Legilor privind Protecția Datelor, menținerea unor evidențe scrise precise ale tuturor activităților de Prelucrare a oricăror Date cu Caracter Personal efectuate în temeiul Acordului.
- Fără a deroga de la cele de mai sus, va fi responsabil pentru furnizarea persoanelor vizate a oricăror informații solicitate în temeiul Legilor privind protecția datelor și pentru a permite persoanelor vizate să își exercite drepturile în temeiul Legilor privind protecția datelor și va oferi celeilalte Părți cooperare și asistență rezonabilă pentru a îndeplini cele de mai sus și orice obligații legale sau de reglementare;
- Implementați și mențineți măsuri de securitate fizice, tehnice și organizatorice rezonabile din punct de vedere comercial și adecvate pentru a proteja Datele cu caracter personal împotriva distrugerii accidentale sau ilegale; pierderii accidentale, modificării, divulgării neautorizate sau accesului neautorizat la datele cu caracter personal transmise, stocate sau prelucrate în alt mod și a tuturor celorlalte forme ilegale de prelucrare;
- Respectarea oricăror obligații de notificare către autoritatea de supraveghere privind încălcarea datelor cu caracter personal și a obligațiilor de comunicare către persoanele vizate, conform prevederilor Legii privind protecția datelor;
- Să notifice cealaltă Parte fără întârzieri nejustificate și nu mai târziu de douăzeci și patru (24) de ore după ce a luat cunoștință de un Incident de Încălcare.
- Partea care obține inițial Datele cu caracter personal de la o persoană vizată va fi responsabilă pentru obținerea oricăror consimțământuri care pot fi necesare din partea persoanei vizate (în fiecare caz, în măsura necesară pentru respectarea Legilor privind protecția datelor) și pentru furnizarea de informații către persoana vizată înainte de colectarea Datelor cu caracter personal (de exemplu, „Notificarea de confidențialitate” sau „Politica de confidențialitate”), după cum este necesar pentru respectarea Legilor privind protecția datelor. Cele de mai sus nu vor deroga de la responsabilitățile celeilalte Părți în temeiul Legilor privind protecția datelor (cum ar fi cerința de a furniza informații persoanei vizate atunci când Datele cu caracter personal sunt în legătură cu prelucrarea Datelor cu caracter personal).
- Fiecare Parte poate numi subcontractanți, inclusiv Afiliați, pentru a prelucra Date cu Caracter Personal în numele său („Sub-Procesori”) în scopul îndeplinirii obligațiilor și serviciilor care îi revin în temeiul Acordului, cu condiția ca: (i) numirea să fie supusă unui acord scris cu Sub-Procesorul desemnat, care să conțină, acolo unde este cazul, termeni care să ofere o protecție echivalentă a Datelor cu Caracter Personal, așa cum este prevăzută în prezentul Act Adițional privind Protecția Datelor; și (ii) fiecare Parte să fie răspunzătoare pentru acțiunile sau omisiunile propriilor Sub-Procesori în aceeași măsură în care este răspunzătoare pentru propriile acțiuni sau omisiuni în temeiul prezentului Act Adițional privind Protecția Datelor, al Acordului și al Legilor privind Protecția Datelor.
4. Transferul datelor cu caracter personal
Părțile nu vor prelucra sau transfera Date cu caracter personal în afara unei Jurisdicții Aprobate;
- Dacă o Parte dorește să Prelucreze Date cu Caracter Personal într-o altă jurisdicție decât o Jurisdicție Aprobată sau să transfere Date cu Caracter Personal către o altă jurisdicție decât o Jurisdicție Aprobată, atunci se consideră că aceasta încheie CGC-urile, acolo unde este cazul, împreună cu Addendumul Regatului Unit, caz în care: (i) Addendumul Regatului Unit și CGC-urile sunt încorporate în prezentul document prin referință; și (ii) Partea care dezvăluie Datele cu Caracter Personal va fi considerată Exportator, iar Partea care primește Datele cu Caracter Personal va fi considerată Importator (așa cum sunt definiți acești termeni în acesta).
5. Generalități
- În cazul în care oricare dintre Legile privind protecția datelor sunt înlocuite de Legi noi sau modificate privind protecția datelor (inclusiv orice decizii sau interpretări ale unei instanțe judecătorești relevante sau ale unei autorități guvernamentale referitoare la acestea), Legile noi sau modificate privind protecția datelor se consideră a fi încorporate în prezentul Act adițional privind protecția datelor, iar ambele Părți vor începe imediat să respecte respectivele Legi privind protecția datelor.
- În cazul în care există vreun conflict sau o neconcordanță între termenii prezentului DPA și Clauzele Contractuale Standard sau Addendumul pentru Regatul Unit (după caz), vor prevala termenii Clauzelor Contractuale Standard sau ai Addendumului pentru Regatul Unit (după caz).
Anexa I la CCS
- Anexa 1 face parte din DPA și stabilește interpretarea convenită de părți a obligațiilor care le revin în temeiul Addendumului Regatului Unit și/sau al Clauzelor Contractuale Standard.
- Părțile convin că, în scopul transferului de Date cu Caracter Personal între MIR și Titularul de Cont, se vor aplica următoarele:
- Clauza 7 din CSC nu va fi aplicabilă.
- Autoritatea de supraveghere va fi Biroul Comisarului pentru Informații din Regatul Unit, în cazul în care este încorporat Actul Addendum din Regatul Unit, sau Comisarul irlandez pentru protecția datelor, în cazul în care sunt încorporate doar CSC-urile.
- Legislația Angliei și a Țării Galilor se aplică atunci când se aplică Actul Addendum pentru Regatul Unit și legislația Irlandei acolo unde nu se aplică.
- Părțile aleg instanțele engleze ca for și jurisdicție de alegere atunci când se aplică Actul Adițional la Regatul Unit și instanțele irlandeze atunci când acesta nu se aplică.
- În Tabelul 4 din Actul Addendum pentru Regatul Unit, oricare dintre părți poate rezilia acordul în conformitate cu secțiunea 19 din Actul Addendum pentru Regatul Unit.
Identificarea părților
„Exportator de date”: transmițătorul de Date cu Caracter Personal;
„Importator de date”: destinatarul Datelor cu Caracter Personal
Descrierea transferului
Persoane vizate
Datele cu caracter personal prelucrate privesc următoarele categorii de Persoane Vizate (vă rugăm să specificați):
- ☐ Angajații MIR
- ☐ Clienții MIR
- ☐ Utilizatorii finali ai titularului de cont
- ☐ Angajații titularului de cont
- ☐ Clienții titularului de cont
- ☐ Altul: ________
Categorii de date cu caracter personal
Datele cu caracter personal transferate se referă la următoarele categorii de date (vă rugăm să specificați):
- ☐ Informații de contact (nume, vârstă, sex, adresă, număr de telefon, adresă de e-mail etc.)
- ☐ Date financiare și de plată (de exemplu, numărul cardului de credit, contul bancar, tranzacțiile)
- ☐ Acte de identitate oficiale (pașaport, permis de conducere)
- ☐ Identificatori de dispozitive și activitate pe internet sau în rețeaua electronică (adrese IP, GAID/IDFA, istoric de navigare, marcaje temporale)
- ☐ Informații despre geolocalizare
- ☐ Date biometrice
- ☐ Altul: ________
Categorii speciale de date (dacă este cazul)
Datele cu caracter personal transferate se referă la următoarele categorii speciale de date (vă rugăm să specificați):
- ☐ Niciunul
- ☐ Date genetice sau biometrice
- ☐ Date privind sănătatea
- ☐ Origine rasială sau etnică
- ☐ Opinii politice, convingeri religioase sau filozofice
- ☐ Altul: ________
Frecvența transferului:
- ☐ O singură dată
- ☐ Continuu
- ☐ Altul: ________
Natura prelucrării
- ☐ Colecție
- ☐ Înregistrare
- ☐ Organizare sau structurare
- ☐ Depozitare
- ☐ Adaptare sau modificare
- ☐ Recuperare
- ☐ Consultație
- ☐ Divulgarea, diseminarea sau punerea la dispoziție în orice alt mod
- ☐ Analiză
- ☐ Ștergerea sau distrugerea
- ☐ Altul: ________
-
Scopul transferului și al prelucrării ulterioare
- ☐ Pentru a furniza, gestiona și opera Servicii de cont MBB
- ☐ Altul: ________
Perioada de păstrare
Datele cu caracter personal vor fi păstrate pe durata Acordului sau în conformitate cu legislația aplicabilă.
Anexa II la CCS – Măsuri tehnice și organizatorice, inclusiv măsuri tehnice și organizatorice pentru asigurarea securității datelor
Această anexă face parte din DPA și descrie măsurile tehnice și organizatorice de securitate implementate de importatorul de date.
Luând în considerare stadiul actual al tehnologiei, costurile implementării și natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și riscul cu probabilitate și gravitate variabile pentru drepturile și libertățile persoanelor fizice, Importatorul de date va implementa măsuri tehnice și organizatorice adecvate pentru a asigura un nivel de securitate adecvat riscului, inclusiv, printre altele, după caz:
- pseudonimizarea și criptarea datelor cu caracter personal;
- capacitatea de a asigura confidențialitatea, integritatea, disponibilitatea și reziliența continuă a sistemelor și serviciilor de prelucrare;
- capacitatea de a restabili disponibilitatea și accesul la datele cu caracter personal în timp util în cazul unui incident fizic sau tehnic;
- un proces de testare, evaluare și evaluare periodică a eficacității măsurilor tehnice și organizatorice pentru asigurarea securității prelucrării; și
- menținerea politicilor de securitate a informațiilor și de confidențialitate a datelor
RU 
TR 
ZH 
NB 