ČASŤ 1 – Prenosy mimo EHP
1. Príloha I.A štandardných zmluvných doložiek sa vyplní nasledovne:
Vývozca údajov: Zákazník (podľa údajov uvedených v zmluve).
Kontaktné údaje: Kontaktné údaje zákazníka (podľa údajov uvedených v zmluve).
Úloha vývozcu údajov: Prevádzkovateľ údajov.
Modul dva: Vývozca údajov je prevádzkovateľom údajov.
Dovozca údajov: Marzipan.
Kontaktné údaje: Ako je uvedené v Zmluve.
Úloha dovozcu údajov: Dovozca údajov je sprostredkovateľom údajov.
Podpis a dátum: Uzavretím Zmluvy a DPA sa má za to, že dovozca údajov podpísal tieto Štandardné zmluvné doložky, ktoré sú tu začlenené vrátane ich príloh, a to k dátumu nadobudnutia účinnosti Zmluvy.
2. Príloha I.B Štandardných zmluvných doložiek sa vyplní nasledovne:
Kategórie dotknutých osôb sú opísané v článku 4.6 DPA.
Kategórie zákazníckych údajov sú opísané v článku 4.5 DPA.
Zmluvné strany nemajú v úmysle prenášať údaje osobitných kategórií.
Frekvencia prenosu je priebežná po celú dobu trvania Zmluvy.
Povaha spracúvania je opísaná v článku 4.4 DPA.
Účel spracúvania je opísaný v článku 4.3 DPA.
Obdobie, počas ktorého budú Údaje zákazníka uchovávané, zodpovedá dobe trvania Zmluvy, pokiaľ nie je v Zmluve a/alebo DPA dohodnuté inak.
V súvislosti s prenosmi Sub-spracovateľom je predmet, povaha a trvanie spracúvania stanovené v článku 9 DPA.
3. Dodatok I.C Štandardných zmluvných doložiek sa vyplní nasledovne:
Príslušný dozorný orgán v súlade s doložkou 13 je dozorný orgán v členskom štáte stanovenom v článku 10 písm. e) tohto DPA.
Bezpečnostné štandardy Marzipan (Príloha A) slúžia ako dokumentácia a podrobnosti požadované v Prílohe II Štandardných zmluvných doložiek.
4. V rozsahu, v akom existuje akýkoľvek rozpor medzi Štandardnými zmluvnými doložkami a akýmikoľvek inými ustanoveniami tohto DPA alebo Zmluvy, majú prednosť ustanovenia Štandardných zmluvných doložiek.
ČASŤ 2 – Prenosy mimo UK
- Strany sa dohodli, že IDTA DPA sa vzťahuje na prenos mimo UK a táto Časť 2 je účinná od 21. marca 2022.
- Pokiaľ nie je definované v Zmluve, definované výrazy v časti 2 prílohy 2 majú význam uvedený v „Časti 2: Povinné klauzuly" nižšie.
Časť 1: Tabuľky
Tabuľka 1 IDTA DPA
3. Tabuľka 1 DPA sa vypĺňa takto:
- Exportér údajov: Zákazník (podľa podmienok zmluvy).
- Kontaktné údaje: Podľa podmienok zmluvy.
Podpis a dátum: Uzavretím zmluvy a DPA sa exportér údajov považuje za podpisovateľa tohto IDTA DPA, ktorý je tu začlenený, a to ku dňu nadobudnutia účinnosti zmluvy.
- Dovozca údajov: Marzipan.
- Kontaktné údaje: Podľa podmienok zmluvy.
Podpis a dátum: Uzavretím zmluvy a DPA sa importér údajov považuje za podpisovateľa tohto IDTA DPA, ktorý je tu začlenený, a to ku dňu nadobudnutia účinnosti zmluvy.
Tabuľka 2 IDTA DPA
4. Tabuľka 2 DPA sa vyplní nasledovne:
| DPA EU SSCs | The Approved EU SCCs, including the Appendix Information and with only the following modules, clauses or optional provisions of the Approved EU SCCs brought into effect for the purposes of this DPA: |
| Module in operation | Clause 7 (Docking Clause) |
Clause 11 (Option) |
Clause 9a (Prior Authorisation or General Authorisation) |
Clause 9a (Time period) |
Is personal data received from the Importer combined with personal data collected by the Exporter? |
|---|---|---|---|---|---|
| 1 | Shall not apply | Shall not apply | General Authorisation | As set out in clause 9.2 of the DPA (30 days). | No |
| 1 | Shall not apply | Shall not apply | General Authorisation | As set out in clause 9.2 of the DPA (30 days). | No |
Tabuľka 3 IDTA DPA
5. Tabuľka 3 DPA sa vyplní nasledovne:
Vývozca údajov: Zákazník (podľa údajov uvedených v zmluve).
Kontaktné údaje: Kontaktné údaje zákazníka (podľa údajov uvedených v zmluve).
Úloha vývozcu údajov: Prevádzkovateľ údajov.
- a) Modul jedna: Importér údajov je prevádzkovateľ údajov.
- b) Modul dva: Importér údajov je prevádzkovateľ údajov.
Modul dva: Vývozca údajov je prevádzkovateľom údajov.
Podpis a dátum: Uzavretím zmluvy a DPA sa exportér údajov považuje za podpisovateľa schválených štandardných zmluvných doložiek EÚ, vrátane ich príloh, ktoré sú tu začlenené, a to ku dňu nadobudnutia účinnosti zmluvy.
Dovozca údajov: Marzipan.
Kontaktné údaje: Podľa podmienok zmluvy.
Úloha importéra údajov: Importér údajov je sprostredkovateľ údajov.
6. Príloha I.B sa vyplní nasledovne:
Kategórie dotknutých osôb sú opísané v článku 4.6 DPA.
Kategórie osobných údajov sú opísané v článku 4.5 DPA.
Zmluvné strany nemajú v úmysle prenášať údaje osobitných kategórií.
Frekvencia prenosu je priebežná po celú dobu trvania Zmluvy.
Povaha spracúvania je opísaná v článku 4.4 DPA.
Účel spracúvania je opísaný v článku 4.3 DPA.
Osobné údaje sa uchovávajú po dobu trvania zmluvy, pokiaľ nie je v zmluve a/alebo DPA dohodnuté inak.
V súvislosti s prenosmi Sub-spracovateľom je predmet, povaha a trvanie spracúvania stanovené v článku 9 DPA.
Príloha III: Zoznam sprostredkovateľov sa neuplatňuje, keďže Marzipan má všeobecné písomné oprávnenie na využívanie sprostredkovateľov.
Tabuľka 4 IDTA DPA
7. Importér môže ukončiť toto IDTA DPA spôsobom stanoveným v článku 26 tohto IDTA DPA.
Časť 2: Povinné ustanovenia
8. Každá strana súhlasí s tým, že bude viazaná podmienkami stanovenými v tomto IDTA DPA, výmenou za to, že aj druhá strana súhlasí s tým, že bude viazaná týmto IDTA DPA.
9. Hoci príloha 1A a článok 7 schválených štandardných zmluvných doložiek EÚ vyžadujú podpis zmluvných strán, na účely uskutočňovania obmedzených prenosov môžu strany uzavrieť toto IDTA DPA akýmkoľvek spôsobom, ktorý ho robí pre strany právne záväzným a umožňuje dotknutým osobám uplatniť ich práva stanovené v tomto DPA. Uzavretie tohto IDTA DPA bude mať rovnaký účinok ako podpísanie schválených štandardných zmluvných doložiek EÚ a akejkoľvek ich časti.
Výklad tohto IDTA DPA
10. Pokiaľ toto IDTA DPA používa pojmy definované v schválených štandardných zmluvných doložkách EÚ, tieto pojmy majú rovnaký význam ako v schválených štandardných zmluvných doložkách EÚ. Okrem toho majú nasledujúce pojmy nasledujúci význam:
| DPA | This International Data Transfer DPA which is made up of this IDTA DPA incorporating the DPA EU SCCs. |
| DPA EU SCCs | The version(s) of the Approved EU SCCs which this IDTA DPA is appended to, as set out in Table 2, including the Appendix Information. |
| Appendix Information | As set out in Table 3. |
| Appropriate Safeguards | The standard of protection over the Personal Data and of Data Subjects’ rights, which is required by UK Data Protection Laws when the Customer are making a Restricted Transfer relying on standard data protection clauses under Article 46(2)(d) UK GDPR. |
| Approved DPA | The template DPA issued by the UK ICO and laid before UK Parliament in accordance with s119A of the Data Protection Act 2018 on 2 February 2022, as it is revised under clause 25 below. |
| Approved EU SCCs | The Standard Contractual Clauses set out in the Annex of Commission Implementing Decision (EU) 2021/914 of 4 June 2021. |
| ICO | The UK Information Commissioner. |
| Restricted Transfer | A transfer which is covered by Chapter V of the UK GDPR. |
| UK | The United Kingdom of Great Britain and Northern Ireland. |
| UK Data Protection Laws | All laws relating to data protection, the processing of personal data, privacy and/or electronic communications in force from time to time in the UK, including the UK GDPR and the Data Protection Act 2018. |
| UK GDPR | As defined in section 3 of the Data Protection Act 2018. |
11. Toto IDTA DPA sa musí vždy vykladať spôsobom, ktorý je v súlade s právnymi predpismi UK o ochrane údajov, a tak, aby strany splnili svoju povinnosť poskytnúť primerané záruky.
12. Ak ustanovenia obsiahnuté v DPA EU SCCs menia schválené štandardné zmluvné doložky akýmkoľvek spôsobom, ktorý nie je povolený podľa schválených štandardných zmluvných doložiek EÚ alebo schváleného DPA, takéto zmeny nebudú začlenené do tohto IDTA DPA a namiesto nich sa uplatní zodpovedajúce ustanovenie schválených štandardných zmluvných doložiek EÚ.
13. Ak existuje akýkoľvek nesúlad alebo konflikt medzi UK Data Protection Laws a týmto IDTA DPA, prednosť majú UK Data Protection Laws.
14. Ak je význam tohto IDTA DPA nejasný alebo pripúšťa viac ako jeden výklad, uplatní sa ten výklad, ktorý je najbližší UK Data Protection Laws.
15. Akékoľvek odkazy na právne predpisy (alebo ich konkrétne ustanovenia) označujú tieto právne predpisy (alebo konkrétne ustanovenia) v znení, ktoré môže byť zmenené v priebehu času. Vzťahuje sa to aj na prípady, keď boli tieto právne predpisy (alebo konkrétne ustanovenia) konsolidované, znovu prijaté a/alebo nahradené po uzavretí tohto IDTA DPA.
Hierarchia
16. Hoci článok 5 schválených EU SCCs stanovuje, že schválené EU SCCs majú prednosť pred všetkými súvisiacimi dohodami medzi stranami, strany sa dohodli, že pri Obmedzených prenosoch bude mať prednosť hierarchia uvedená v oddiele 17.
17. V prípade akéhokoľvek nesúladu alebo konfliktu medzi schváleným DPA a DPA EU SCCs (podľa okolností) má schválený DPA prednosť pred DPA EU SCCs, s výnimkou prípadov, keď (a v rozsahu, v akom) nesúladné alebo kolidujúce ustanovenia DPA EU SCCs poskytujú väčšiu ochranu dotknutým osobám – v takom prípade majú tieto ustanovenia prednosť pred schváleným DPA.
18. Ak tento IDTA DPA zahŕňa DPA EU SCCs, ktoré boli uzatvorené na ochranu prenosov podliehajúcich Nariadeniu o ochrane osobných údajov (EÚ) 2016/679, strany berú na vedomie, že nič v tomto IDTA DPA nemá vplyv na tieto DPA EU SCCs.
Začlenenie a zmeny EU SCCs
19. Tento IDTA DPA zahŕňa DPA EU SCCs, ktoré sú zmenené v nevyhnutnom rozsahu tak, aby:
- spoločne fungovali pri prenosoch údajov uskutočnených vývozcom údajov dovozcovi údajov v rozsahu, v akom sa UK Data Protection Laws vzťahujú na spracúvanie vývozcu údajov pri uskutočňovaní daného prenosu, a poskytovali primerané záruky pre tieto prenosy údajov;
- oddiely 16 až 18 nižšie mali prednosť pred článkom 5 (Hierarchia) DPA EU SCCs; a
- tento IDTA DPA (vrátane do neho začlenených DPA EU SCCs) sa (1) riadi právnymi predpismi Anglicka a Walesu a (2) akýkoľvek spor z neho vyplývajúci je riešený súdmi Anglicka a Walesu, a to v každom prípade, pokiaľ strany výslovne nezvolili právne predpisy a/alebo súdy Škótska alebo Severného Írska.
20. Pokiaľ sa strany nedohodli na alternatívnych zmenách spĺňajúcich požiadavky vyššie uvedeného článku 19, uplatnia sa ustanovenia oddielu 22.
21. Žiadne iné zmeny schválených EU štandardných zmluvných doložiek okrem zmien potrebných na splnenie požiadaviek oddielu 19 nie sú prípustné.
22. Nasledujúce zmeny DPA EU štandardných zmluvných doložiek (na účely oddielu 19) sa vykonávajú:
- spoločne fungovali pri prenosoch údajov uskutočnených vývozcom údajov dovozcovi údajov v rozsahu, v akom sa UK Data Protection Laws vzťahujú na spracúvanie vývozcu údajov pri uskutočňovaní daného prenosu, a poskytovali primerané záruky pre tieto prenosy údajov;
- V článku 2 odstráňte slová: „a, pokiaľ ide o prenosy údajov od správcov na spracovateľov a/alebo spracovateľov na spracovateľov, štandardné zmluvné doložky podľa článku 28(7) Nariadenia (EÚ) 2016/679";
- Článok 6 (Opis prenosov) sa nahrádza nasledovne: „Detaily prenosov a najmä kategórie osobných údajov, ktoré sa prenášajú, a účel(y), na ktorý(é) sa prenášajú, sú uvedené v prílohe I.B, kde sa zákony o ochrane údajov UK vzťahujú na spracovanie vývozcu údajov v čase tohto prenosu.";
- Článok 8.8(i) modulu 2 sa nahrádza nasledovne: „ďalší prenos je na krajinu, na ktorú sa vzťahujú nariadenia o adekvátnosti podľa časti 17A UK GDPR, ktoré pokrývajú ďalší prenos;";
- Odkazy na „Nariadenie (EÚ) 2016/679", „Nariadenie (EÚ) 2016/679 Európskeho parlamentu a Rady z 27. apríla 2016 o ochrane fyzických osôb pri spracovaní osobných údajov a o voľnom pohybe takýchto údajov (Všeobecné nariadenie o ochrane údajov)" a „toto nariadenie" sú všetky nahradené termínom „zákony o ochrane údajov UK". Odkazy na špecifické články „Nariadenia (EÚ) 2016/679" sa nahradzujú ekvivalentným článkom alebo časťou zákonov o ochrane údajov UK;
- Odkazy na nariadenie (EÚ) 2018/1725 sa vypúšťajú;
- Odkazy na „Európsku úniu", „Úniu", „EÚ", „Členský štát EÚ", „Členský štát" a „EÚ alebo Členský štát" sú všetky nahradené termínom „UK";
- Odkaz na „Klauzulu 12(c)(i)" v Klauzule 10(b)(i) modulu jedna sa nahrádza termínom „Klauzula 11(c)(i)";
- Článok 13 ods. a) a časť C prílohy I sa nepoužívajú;
- „Príslušný dohľadný orgán" a „dohľadný orgán" sú obidva nahradené termínom „Information Commissioner";
- V článku 16(e) sa pododstavec (i) nahrádza nasledovne: „Štátny tajomník vykonávajúci právomoc vydá nariadenia podľa časti 17A Zákona o ochrane údajov z roku 2018, ktoré sa vzťahujú na prenos osobných údajov, na ktoré sa tieto klauzuly vzťahujú;";
- Článok 17 sa nahrádza nasledovne: „Tieto klauzuly sa riadia zákonmi Anglicka a Walesu.";
- Článok 18 sa nahrádza nasledovne: „Akýkoľvek spor vyplývajúci z týchto klauzúl sa vyrieši súdmi Anglicka a Walesu. Dotknutá osoba môže tiež podať právnu žalobu proti vývozcom údajov a/alebo dovozcom údajov pred súdy v ktorejkoľvek krajine na území UK. Strany sa zhodujú, že sa budú podriaďovať právomoci takýchto súdov." a
- Poznámky pod čiarou k schváleným EU SCC netvoria súčasť IDTA DPA, s výnimkou poznámok pod čiarou 8, 9, 10 a 11.
Zmeny tohto IDTA DPA
23. Strany sa môžu dohodnúť na zmene článkov 17 a/alebo 18 DPA EU SCC tak, aby odkazovali na právne predpisy a/alebo súdy Škótska alebo Severného Írska.
24. Ak si strany želajú zmeniť formát informácií uvedených v časti 1: Tabuľky schváleného DPA, môžu tak urobiť písomnou dohodou o tejto zmene, za predpokladu, že zmena neznižuje úroveň primeraných záruk (Appropriate Safeguards).
25. ICO môže z času na čas vydať revidovaný schválený DPA, ktorý:
- vykonáva primerané a proporcionálne zmeny schváleného DPA, vrátane opravy chýb v schválenom DPA; a/alebo
- odráža zmeny zákonov UK o ochrane údajov;
Revidovaný schválený DPA uvedie dátum začiatku platnosti zmien schváleného DPA a či strany potrebujú preskúmať toto IDTA DPA vrátane informácií v prílohe. Toto IDTA DPA sa automaticky mení v súlade s revidovaným schváleným DPA od uvedeného dátumu začiatku platnosti.
26. Ak ICO vydá revidovanú schválenú DPA podľa časti 18, ak ktorákoľvek zo strán vybraná v tabuľke 4 „Ukončenie DPA po zmene schválenej DPA", bude ako priamy výsledok zmien v schválenej DPA čeliť podstatnému, neúmernému a preukázateľnému zvýšeniu v:
- priame náklady na plnenie svojich záväzkov podľa DPA; a/alebo
- svoje riziko podľa DPA,
a v každom takom prípade najskôr prijala primerané kroky na zníženie týchto nákladov alebo rizík tak, aby neboli podstatné a neprimerané, môže táto strana ukončiť túto IDTA DPA na konci primeranej výpovednej lehoty, a to písomným oznámením tejto lehoty druhej strane pred začiatočným dátumom revidovanej schválenej DPA.
27. Strany nepotrebujú súhlas žiadnej tretej strany na vykonanie zmien tejto IDTA DPA, avšak akékoľvek zmeny musia byť vykonané v súlade s jej podmienkami.
