Gegevensbeschermingsovereenkomst

BIJLAGE

Deze Gegevensbeschermingsovereenkomst, inclusief alle bijlagen die hieronder worden uiteengezet (deze "GBO"), is tussen het bedrijf Seagate dat in de Overeenkomst wordt genoemd ("Seagate") en het Bedrijf dat in de Overeenkomst wordt genoemd ("Bedrijf") (elk een "partij" en gezamenlijk de "partijen").

Het Bedrijf heeft één of meer aankooporders, contracten en/of overeenkomsten, met inbegrip van werkverklaringen (de "Overeenkomst(en)") afgesloten met Seagate op grond waarvan het Bedrijf is overeengekomen om bepaalde diensten aan Seagate te leveren zoals meer in het bijzonder beschreven in de Overeenkomst(en) ("Diensten").

De partijen gaan deze GBO aan om ervoor te zorgen dat de Verwerking door het Bedrijf van Persoonsgegevens die aan het Bedrijf zijn verstrekt of door het Bedrijf zijn verzameld voor Seagate en/of namens Seagate, wordt uitgevoerd op een manier die in overeenstemming is met de Wet(en) inzake gegevensbescherming en de vereisten daarvan met betrekking tot het verzamelen, gebruiken en bewaren van Persoonsgegevens van betrokkenen.

Deze GBO is opgenomen in en maakt deel uit van de Overeenkomst(en). Alle woorden met een hoofdletter die niet gedefinieerd zijn in deze GBO zullen de betekenis hebben die in de Overeenkomst(en) is vastgelegd.

De partijen erkennen en komen het volgende overeen:

DEFINITIES
1. "Dochteronderneming" is een entiteit die zeggenschap heeft over of onder (gezamenlijke) zeggenschap staat van de betrokken partij.
2. "Zeggenschap" betekent een eigendoms-, stem- of vergelijkbaar belang dat vijftig procent (50%) of meer vertegenwoordigt van de totale belangen (zoals gemeten op volledig verwaterde basis) die dan uitstaan van de entiteit in kwestie. De term "Onder zeggenschap" zal dienovereenkomstig worden geïnterpreteerd.
3. "Inbreuk op de gegevensbescherming" is de onopzettelijke of onrechtmatige vernietiging, verlies, aanpassing, ongeautoriseerde openbaarmaking van, toegang tot, verwerving van Persoonlijke informatie van Seagate, of andere ongeautoriseerde Verwerking van Persoonlijke informatie van Seagate.
4. "Wet(ten) inzake gegevensbescherming" betekent alle wereldwijde wetten, regels en voorschriften inzake gegevensbescherming, gegevensbeveiliging en privacy die van toepassing zijn op de Persoonsgegevens in kwestie, inclusief waar van toepassing: (i) de Europese wetgeving inzake gegevensbescherming; (ii) alle wetten, regels en voorschriften van de Verenigde Staten, inclusief de privacywetgeving van de Amerikaanse staat, zoals van tijd tot tijd gewijzigd, vervangen of bijgewerkt; en (iii) toepasselijke industrienormen die geschikt zijn voor de aard van de Persoonsgegevens.
5. "Europese wet(ten) inzake gegevensbescherming" betekent alle wet- en regelgeving inzake gegevensbescherming die van toepassing is op de Europese Unie ("EU") of de Europese Economische Ruimte ("EER"), met inbegrip van:
  1. de Algemene Verordening Gegevensbescherming 2016/679 ("EU AVG");
  2. de AVG zoals opgeslagen in de wetgeving van het Verenigd Koninkrijk krachtens Paragraaf 3 van de European Union (Withdrawal) Act 2018 van het Verenigd Koninkrijk en de UK Data Protection Act 2018 (de "UK AVG")
  3. de Zwitserse federale wet op de gegevensbescherming van 19 juni 1992 en de bijbehorende verordeningen ("Zwitserse GBO"); en
  4. Richtlijn 2002/58/EG betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie; en
  5. toepasselijke nationale implementaties van (i), (ii) en (iii).
6. Een "Betrokkene" is een geïdentificeerde of identificeerbare natuurlijke persoon van wie-persoonsgegevens mogen worden verwerkt in het kader van deze Gegevensbeschermingsovereenkomst (GBO).
7. "EU SCC's" betekent de contractuele clausules die als bijlage zijn toegevoegd aan Uitvoeringsbesluit 2021/914 van de Europese Commissie van 4 juni 2021 betreffende modelcontractbepalingen voor de doorgifte van persoonsgegevens naar derde landen krachtens Verordening (EU) 2016/679 van het Europees Parlement en de Raad.
8. "Persoonsgegevens" betekent alle informatie die beschermd is als persoonsgegevens, persoonlijke informatie of persoonlijk identificeerbare informatie of gelijksoortig gedefinieerde termen onder de Gegevensbeschermingswetten.
9. "Verwerken" of "Verwerking" betekent, zonder beperking, handelingen uitgevoerd op Persoonlijke informatie van Seagate, al dan niet via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, wijzigen, gebruiken, openen, openbaar maken, verspreiden, kopiëren, doorgeven, opslaan of anderszins behouden, verwijderen, aligneren, combineren, afschermen, aanpassen, ophalen, raadplegen, vernietigen of wissen van Persoonsgegevens.
10. "Beperkte Doorgifte" betekent:
  1. waar de EU AVG van toepassing is, een doorgifte van Persoonsgegevens van de EER naar een land buiten de EER die niet onderworpen is aan een vaststelling van gepastheid door de Europese Commissie.
  2. waar de AVG van het Verenigd Koninkrijk van toepassing is, een doorgifte van Persoonsgegevens van het Verenigd Koninkrijk naar een ander land dat niet onderworpen is aan of gebaseerd is op adequaatheidsregelingen krachtens Paragraaf 17A van de Britse Data Protection Act 2018; en
  3. waar de Zwitserse GBO van toepassing is, een doorgifte van Persoonsgegevens van Zwitserland naar een ander land die niet gebaseerd is op een adequaatheidsbesluit dat erkend is onder de Zwitserse wetgeving inzake gegevensbescherming.
11. "Persoonlijke informatie van Seagate" betekent alle informatie die wordt beschermd als persoonsgegevens, persoonlijk identificeerbare informatie of persoonlijke informatie onder de wetgeving inzake gegevensbescherming, die is gecreëerd, eigendom is van of wordt verstrekt door Seagate of voor Seagate, waartoe het Bedrijf toegang heeft, verkrijgt, gebruikt, onderhoudt of verwerkt namens Seagate in verband met Overeenkomsten tussen de partijen en/of hun Dochterondernemingen.
12. "Gevoelige gegevens" zijn alle volgende typen Persoonlijke informatie van Seagate: (i) burgerservicenummer, belastingidentificatienummer, paspoortnummer, rijbewijsnummer of een ander door de overheid uitgegeven identificatienummer; (ii) creditcard- of betaalkaartgegevens of bankrekeningnummer, met of zonder code of wachtwoord die toegang verlenen tot bank- of kredietgeschiedenis; of (iii) gegevens over ras, religie, etniciteit, seksleven of -praktijken of seksuele gerichtheid, medische of gezondheidsinformatie, genetische of biometrische gegevens, biometrische sjablonen, politieke of filosofische overtuigingen, lidmaatschap van politieke partijen of vakbonden, antecedentenonderzoeksinformatie of juridische gegevens zoals een strafblad of informatie over andere juridische of administratieve procedures. In het kader van deze GBO omvatten Gevoelige gegevens gevoelige persoonlijke informatie, gevoelige gegevens, of gelijksoortig gedefinieerde termen zoals gedefinieerd onder de toepasselijke Gegevensbeschermingswetten, speciale gegevenscategorieën zoals gedefinieerd in de EU AVG en de UK AVG en gevoelige persoonsgegevens zoals gedefinieerd in de Zwitserse GBO.
13. "Standaardclausules" betekent (indien van toepassing) de EU SCC's, het UK Addendum en de Zwitserse wijzigingen zoals uiteengezet in Paragraaf 3.1(i)(3) van deze GBO.
14. "Subverwerker" is elke derde partij die door het Bedrijf of door een andere Subverwerker wordt ingeschakeld en toegang heeft tot Persoonlijke informatie van Seagate of deze ontvangt of anderszins Verwerkt.
15. "Toezichthoudende Autoriteit" betekent elke regelgevende, toezichthoudende, overheidsinstantie, staatsagentschap, procureur-generaal of andere bevoegde autoriteit met jurisdictie over of toezicht op de naleving van de Gegevensbeschermingswetten.
16. "Bedrijfspersoneel" betekent elke werknemer, contractant, Subverwerker of agent van het Bedrijf die door het Bedrijf gemachtigd is om Persoonlijke informatie van Seagate te verwerken.
17. "UK Addendum" betekent het International Data Transfer Addendum (versie B1.0) uitgegeven door Information Commissioners Office onder S.119(A) van de UK Data Protection Act 2018, zoals van tijd tot tijd bijgewerkt of gewijzigd.
18. "Privacywetgeving van de Amerikaanse staat" betekent alle toepasselijke wetten, regels en voorschriften inzake gegevensprivacy, gegevensbescherming en cyberbeveiliging waaraan de Persoonsgegevens van het Bedrijf onderworpen zijn.
19. De termen "Verwerkingsverantwoordelijke", "Betrokkene", "Verwerker", "Bedrijf", "Zakelijk doel", "Commercieel doel", "Verzamelen", "Consument", "Delen", "Verkopen", "Toezichthoudende autoriteit" en "Dienstverlener" hebben de betekenis die daaraan wordt gegeven onder de Gegevensbeschermingswetten.
20. Het woord "omvatten" wordt opgevat als zijnde met inbegrip van en zonder beperking. Verwante termen worden dienovereenkomstig geïnterpreteerd.
GEGEVENSBEVEILIGING EN -BESCHERMING
1. Status van de partijen. Met betrekking tot de Persoonlijke informatie van Seagate erkennen en komen de partijen hierbij overeen dat het Bedrijf dergelijke Persoonsgegevens zal verwerken als een Verwerker, namens Seagate. Het Bedrijf krijgt hierbij de opdracht om Persoonsgegevens te verwerken voor zover dit noodzakelijk is om de Diensten te verlenen zoals uiteengezet in de Overeenkomst(en) en deze GBO.
2. CCPA-rollen. Voor de doeleinden van de California Consumer Privacy Act van 2018 (California Civil Code §§ 1798.100 et seq ("CCPA"), zoals gewijzigd door de California Privacy Rights Act ("CPRA")) (indien van toepassing), verwerkt het Bedrijf Persoonsgegevens als een Dienstverlener die handelt in opdracht van Seagate als Bedrijf.
3. Niet-openbaarmaking van Persoonlijke informatie van Seagate. Het Bedrijf zal Persoonlijke informatie van Seagate op geen enkele wijze en voor geen enkel doel aan derden openbaren zonder voorafgaande schriftelijke toestemming van Seagate, met uitzondering van openbaarmakingen aan Subverwerkers in overeenstemming met Paragraaf 2.5 hieronder. Zonder beperking aan het voorafgaande, mag het Bedrijf onder geen beding Persoonlijke informatie van Seagate verkopen of anderszins openbaar maken aan derde partijen ten behoeve van commerciële belangen van het Bedrijf of derde partijen. Elke persoon die geautoriseerd is om Persoonlijke informatie van Seagate te Verwerken, moet contractueel overeenkomen om de vertrouwelijkheid van dergelijke gegevens te handhaven of een passende wettelijke verplichting tot vertrouwelijkheid hebben.
4. Beperkingen op Verwerking. Het Bedrijf zal de Persoonlijke Informatie van Seagate uitsluitend verwerken ten behoeve van het verlenen van de Diensten aan Seagate onder de Overeenkomst(en) en in overeenstemming met de gedocumenteerde rechtmatige instructies van Seagate ("Toegestane Doeleinden"). Voor deze doeleinden draagt Seagate het Bedrijf op om Persoonlijke informatie van Seagate te verwerken voor de doeleinden die worden beschreven in Bijlage I (Beschrijving van de Doorgifte). Het Bedrijf zal Persoonlijke informatie van Seagate niet verwerken of toestaan dat deze worden verwerkt, behalve voor zover dit noodzakelijk is om diensten aan Seagate te verlenen in overeenstemming met een Overeenkomst tussen de partijen en/of hun Dochterondernemingen of andere schriftelijke instructies van Seagate.
5. VerwerkingseisenHet Bedrijf zal te allen tijde: (a) de Persoonsgegevens uitsluitend verwerken voor de Toegestane Doeleinden; en (b) geen Persoonsgegevens verwerken voor eigen doeleinden of die van derden. Bedrijf zal niet: (i) Persoonsgegevens verkopen of delen; (ii) Persoonsgegevens bewaren, gebruiken of bekendmaken voor andere doeleinden dan de Toegestane Doeleinden, waaronder het bewaren, gebruiken of bekendmaken van Persoonsgegevens voor een commercieel doel anders dan het uitvoeren van de Diensten onder de Overeenkomst(en); of (iii) Persoonsgegevens bewaren, gebruiken of bekendmaken buiten de directe zakelijke relatie tussen Seagate en het Bedrijf.bedrijf zal Seagate op de hoogte stellen als het niet langer kan voldoen aan zijn verplichtingen onder de CCPA/CPRA. Bedrijf verklaart dat het de vereisten en beperkingen zoals uiteengezet in dit Paragraaf 2.5 begrijpt en zal naleven en verder zal voldoen aan de vereisten die van toepassing zijn op Service Providers onder de CCPA/CPRA. Verder erkennen en komen de Partijen overeen dat de uitwisseling van Persoonsgegevens van het Bedrijf tussen de Partijen geen Verkoop vormt, noch deel uitmaakt van enige geldelijke of andere tegenprestatie die tussen de Partijen wordt uitgewisseld met betrekking tot de Overeenkomst(en) of deze GBO. In geen geval zal het Bedrijf Persoonsgegevens die het van Seagate heeft ontvangen, combineren met Persoonsgegevens die het van of namens een andere persoon of andere personen heeft ontvangen, of die het heeft verzameld in het kader van een interactie tussen het Bedrijf en een Consument. Zowel Seagate als het Bedrijf verklaren dat zij de vereisten onder de CCPA/CPRA hebben gelezen en begrepen.
6. Informatiebeveiligingsprogramma. Het Bedrijf zal een uitgebreid schriftelijk informatiebeveiligingsprogramma implementeren, onderhouden, monitoren en, waar nodig, bijwerken. Dat programma bevat geschikte administratieve, technische en fysieke veiligheidsmaatregelen om Persoonlijke informatie van Seagate te beschermen tegen verwachte bedreigingen of gevaren voor de veiligheid, vertrouwelijkheid of integriteit ervan (zoals ongeautoriseerd openen, verzamelen, gebruiken, kopiëren, wijzigen, verwijderen of openbaar maken en ongeautoriseerd, onrechtmatig of onopzettelijk verliezen, vernietigen, verwerven of beschadigen of enige andere ongeautoriseerde vorm van Verwerking) ("Informatiebeveiligingsprogramma"). Het informatiebeveiligingsprogramma omvat de eisen en maatregelen die staan vermeld in de Beveiligingsnormen in Bijlage II.
7. Beperkingen op Subverwerkers. Het Bedrijf mag Persoonlijke informatie van Seagate openbaar maken aan Subverwerkers waar dit nodig is om zijn Diensten te leveren voor Seagate, behoudens de voorwaarden die vermeld zijn in deze Paragraaf 2.7. Het Bedrijf onderhoudt een lijst van de Subverwerkers aan wie het Persoonlijke informatie van Seagate openbaarmaakt en overhandigt deze lijst op verzoek van Seagate aan Seagate. Vanaf de ingangsdatum van de Overeenkomst(en), indien van toepassing, is een actuele lijst van Subverwerker(s) van het Bedrijf opgenomen in de Overeenkomst(en) of in een ander document dat door het Bedrijf aan Seagate is verstrekt en door beide partijen is ondertekend, waarin de lijst van Subverwerker(s) is opgenomen. Het Bedrijf zal Seagate ten minste 30 werkdagen voordat een Subverwerker aan de lijst wordt toegevoegd, op de hoogte stellen via[email protected]. Indien Seagate binnen 30 werkdagen na ontvangst van de kennisgeving geen bezwaar maakt tegen de voorgestelde Subverwerker, wordt de Subverwerker geacht goedgekeurd te zijn. Indien Seagate bezwaar maakt tegen de toegang van een Subverwerker tot Persoonlijke informatie van Seagate, zal het Bedrijf geen Persoonlijke informatie van Seagate openbaar maken aan de Subverwerker. Indien een van de partijen op enig moment van mening is dat een Subverwerker onvoldoende garantie op veiligheid biedt in verhouding tot het risico dat verbonden is aan de Verwerking van Persoonlijke informatie van Seagate, kan Seagate naar eigen inzicht de Subverwerker van de lijst verwijderen. Wanneer Seagate bezwaar maakt tegen een Subverwerker of deze verwijdert, beschikt het Bedrijf over een redelijke termijn om de Subverwerker te vervangen. Indien het Bedrijf de Diensten niet kan leveren zonder openbaarmaking van Persoonlijke informatie van Seagate aan de Subverwerker tegen wie bezwaar is gemaakt, kan Seagate elke toepasselijke overeenkomst tussen de partijen en/of hun Dochterondernemingen beëindigen zonder kosten of aansprakelijkheid jegens het Bedrijf.
8. Naleving en schending door Subverwerker. Het gebruik van Subverwerkers door het Bedrijf vermindert de verplichting tot naleving van deze GBO of toepasselijke Wetgeving inzake gegevensbescherming door het Bedrijf niet. Het Bedrijf is aansprakelijk jegens Seagate voor de levering van de Diensten, Inbreuk op de gegevensbescherming en schendingen van deze GBO en toepasselijke Wetgeving inzake gegevensbescherming door zijn Subverwerkers in dezelfde mate als bij schending door het Bedrijf.
9. Verplichtingen van Bedrijfspersoneel en Subverwerkers. Het Bedrijf zal ervoor zorgen dat elke persoon of Sub-verwerker die toegang heeft tot Persoonlijke informatie van Seagate een schriftelijke overeenkomst aangaat met voorwaarden die minstens even beperkend zijn als de voorwaarden in deze GBO. Het Bedrijf garandeert dat alle verplichtingen op het gebied van privacy- en gegevensbescherming ook na de Verwerking ervan voor Seagate geldig blijven. Deze verplichting blijft eeuwigdurend van kracht, of ten minste tot het Bedrijf heeft gecertificeerd dat alle Persoonlijke informatie van Seagate verwijderd, vernietigd en onherstelbaar zijn.
10. Beperkte toegang. Het Bedrijf beperkt de toegang tot Persoonlijke informatie van Seagate tot Personeel van het Bedrijf of Subverwerkers die toegang nodig hebben om het Bedrijf zijn verplichtingen te laten naleven krachtens enige overeenkomst(en) tussen de partijen en/of hun Dochterondernemingen of schriftelijke instructie van Seagate, die (a) opgeleid zijn in gegevensbeschermings- en beveiligingsvereisten, en die (b) akkoord zijn gegaan om tijdens en na afloop van hun Verwerking voor Seagate vereisten voor gegevensvertrouwelijkheid na te leven die ten minste net zo streng zijn als die van Seagate.
11. Kennisgeving van Verzoeken of Klachten. Tenzij verboden door de wet, dient Bedrijf Seagate binnen 2 werkdagen na ontvangst van een verzoek of klacht met betrekking tot de verwerking van Seagate-persoonsgegevens op de hoogte te stellen via [email protected], waaronder:
  1. verzoeken van een Betrokkene tot het overdragen van gegevens, verzoeken tot toegang, wijzigen, verwijderen of beperken, en soortgelijke verzoeken; of
  2. klachten of beschuldigingen dat de Verwerking inbreuk maakt op de rechten van een Betrokkene.
12. Reacties van het Bedrijf. Het Bedrijf reageert niet op verzoeken of klachten, tenzij dit in Paragraaf 2.11 uitdrukkelijk is toegestaan door Seagate. Het Bedrijf werkt samen met Seagate aan maatregelen inzake verzoeken of klachten, met inbegrip van, maar niet beperkt tot, verzoeken tot verwijdering. Het Bedrijf streeft ernaar geschikte processen (waaronder technische en organisatorische maatregelen) te implementeren om Seagate te ondersteunen bij het reageren op verzoeken of klachten, tenzij dit wettelijk verboden is.
13. Verzoeken tot openbaarmaking. Tenzij wettelijk verboden, stelt het Bedrijf Seagate onmiddellijk op de hoogte indien het Bedrijf een document ontvangt met het verzoek, of een ogenschijnlijk verzoek, om Persoonlijke informatie van Seagate (zoals mondelinge vragen, vragenlijsten, verzoeken om informatie of documenten tijdens gerechtelijke procedures, dagvaardingen, civielrechtelijke verzoeken of andere soortgelijke verzoeken of processen; gezamenlijk "Verzoeken tot openbaarmaking"). Indien een Verzoek tot openbaarmaking niet bindend is, reageert het Bedrijf niet. Indien een Verzoek tot openbaarmaking bindend is, zal het Bedrijf, tenzij dit wettelijk verboden is, Seagate ten minste 48 uur voordat het Bedrijf reageert op de hoogte stellen, zodat Seagate gebruik kan maken van zijn rechten om de openbaarmaking te voorkomen of beperken. Het Bedrijf zal alle redelijke maatregelen nemen om openbaarmakingen te voorkomen en te beperken en om de vertrouwelijkheid van Persoonlijke informatie van Seagate te waarborgen. Het Bedrijf werkt samen met Seagate aan maatregelen die worden genomen in reactie op een Verzoek tot openbaarmaking, waaronder samenwerking om het juiste conservatoir bevel of andere garantie te bemachtigen om de vertrouwelijkheid van de Persoonlijke informatie van Seagate te waarborgen.
14. Samenwerking. Het Bedrijf zal Seagate assisteren bij het voldoen aan haar verplichtingen onder de Gegevensbeschermingswetten met betrekking tot (a) registratie en kennisgeving; (b) verantwoordingsplicht; (c) het waarborgen van de beveiliging van Persoonlijke Informatie van Seagate; en (d) het uitvoeren van privacy- en gegevensbeschermingseffectbeoordelingen (inclusief audits en risicobeoordelingen onder de Gegevensbeschermingswetten) en gerelateerde raadplegingen van Toezichthoudende Autoriteiten.
15. Deelname aan onderzoeken van toezichthouders. Het Bedrijf helpt en ondersteunt Seagate bij elk onderzoek door een Toezichthoudende autoriteit voor zover het onderzoek gerelateerd is aan Persoonlijke informatie van Seagate die verwerkt zijn door het Bedrijf of de Subverwerker van het Bedrijf.
16. Melding van mogelijke schendingen of onvermogen tot naleving. Het Bedrijf zal Seagate onmiddellijk op de hoogte brengen indien:
  1. het Bedrijf van mening is dat instructies van Seagate inzake het Verwerken van Persoonlijke informatie van Seagate in strijd zijn met toepasselijke wetgeving;
  2. het Bedrijf van mening is dat hij niet kan voldoen aan zijn verplichtingen uit hoofde van deze GBO of Wetgeving inzake gegevensbescherming en hij dit onvermogen niet binnen een redelijke termijn kan verhelpen; of
  3. Het Bedrijf op de hoogte is van omstandigheden of wijzigingen in toepasselijke wetgeving het Bedrijf niet kan voldoen aan zijn verplichtingen op grond van deze GBO.
17. Stopzetten of aanpassingen voor naleving. Seagate kan de Verwerking van Persoonlijke informatie van Seagate door het Bedrijf of Subverwerkers stopzetten ter voorkoming van mogelijke schendingen of niet-naleving van toepasselijke wetgeving, deze GBO, of andere toepasselijke overeenkomst(en) tussen de partijen en/of hun Dochterondernemingen met betrekking tot privacy of gegevensbescherming. Het Bedrijf werkt samen met Seagate om de Verwerking aan te passen om mogelijke schendingen en niet-naleving te verhelpen. Indien verhelpen niet mogelijk is, kan Seagate elke geldende Overeenkomst(en) tussen de partijen en/of hun Dochterondernemingen beëindigen, zonder kosten of aansprakelijkheid jegens het Bedrijf.
GEGEVENSOVERDRACHTEN
1. Standaardclausules van de Europese Economische Ruimte, het Verenigd Koninkrijk en Zwitserland.
  1. De partijen komen overeen dat wanneer de doorgifte van Persoonlijke informatie van Seagate aan het Bedrijf een Beperkte doorgifte is, deze doorgifte onderworpen is aan de toepasselijke Standaardclausules, die automatisch door middel van verwijzing zijn opgenomen en integraal deel uitmaken van deze GBO, zoals hieronder uiteengezet:
    1. Met betrekking tot Persoonlijke informatie van Seagate die door de EU AVG worden beschermd, zijn de MCB's van de EU als volgt van toepassing:
      1. Seagate is de gegevensexporteur en Company is de gegevensimporteur;
      2. Module Twee (C2P) is van toepassing;
      3. in Bepaling 7 is de optionele docking-bepaling van toepassing;
      4. in Bepaling 9 van Module Twee (C2P), is Optie 2 van toepassing en de periode voor voorafgaande kennisgeving van Subverwerkerwijzigingen is zoals uiteengezet in Paragraaf 7 van deze GBO;
      5. in Bepaling 11 is de optionele taal niet van toepassing
      6. in Bepaling 17;
        
        voor module twee (C2P) is optie 1 van toepassing, en
        
        de SCC's van de EU zullen onder het Ierse recht vallen;
      7. in Bepaling 18(b) zullen geschillen beslecht worden door de gerechten van Ierland;
      8. Bijlage I van de MCB's van de EU wordt geacht te zijn aangevuld met de informatie in Bijlage I bij deze GBO; en
      9. Bijlage II van de MCB's van de EU wordt geacht te zijn aangevuld met de informatie in Bijlage II bij deze GBO.
    2. Met betrekking tot gegevens die beschermd worden door de AVG in het VK, zullen de SCC's van de EU: (i) van toepassing zijn zoals ingevuld in overeenstemming met paragraaf (1) hierboven; en (ii) geacht worden gewijzigd te zijn zoals gespecificeerd in het addendum voor het VK, dat geacht wordt door de partijen te zijn uitgevoerd en opgenomen te zijn in en integraal deel uit te maken van deze GBO. Elk conflict tussen de voorwaarden van de EU SCC's en het UK Addendum zal worden opgelost in overeenstemming met Paragraaf 10 en Paragraaf 11 van het UK Addendum. Daarnaast worden de tabellen 1 tot en met 3 in deel 1 van het Addendum VK respectievelijk ingevuld met de informatie zoals uiteengezet in Bijlage I en II van deze GBO en wordt tabel 4 in deel 1 geacht te zijn ingevuld door geen van beide partijen te selecteren.
    3. Met betrekking tot Persoonlijke informatie van Seagate die worden beschermd door de Zwitserse WoGB, zijn de MCB's van de EU zoals geïmplementeerd in overeenstemming met paragraaf (1) hierboven van toepassing, met dien verstande dat:
      1. verwijzingen in de MCB's van de EU naar Verordening (EU) 2016/679 of de AVG worden geïnterpreteerd als verwijzingen naar de Zwitserse federale wet op de gegevensbescherming (WoGB);
      2. verwijzingen naar EU en Unie worden geïnterpreteerd als verwijzingen naar Zwitserland en verwijzingen naar Recht van de Lid-Staat worden geïnterpreteerd als verwijzingen naar het Zwitsers recht, al naargelang het geval;
      3. de term "Lid-staat" mag niet zodanig worden geïnterpreteerd dat Betrokkenen in Zwitserland worden uitgesloten van de mogelijkheid om hun rechten in hun gewone verblijfplaats (Zwitserland) aan te klagen;
      4. de Bepalingen van de MCB's van de EU moeten worden geïnterpreteerd als een bescherming van de gegevens van juridische entiteiten tot de inwerkingtreding van de herziene WoGB; en
      5. verwijzingen naar de bevoegde Toezichthoudende autoriteit en bevoegde rechtbanken worden geïnterpreteerd als verwijzingen naar de Zwitserse Federal Data Protection and Information Commissioner (FDPIC) en bevoegde rechtbanken in Zwitserland.
    4. In het geval dat een bepaling van deze GBO of de Overeenkomst(en) direct of indirect in tegenspraak is met de Standaardbepalingen, prevaleren de Standaardbepalingen.
    5. Het Bedrijf garandeert dat alle Subverwerkers ook de Standaardbepalingen naleven, waar dit van toepassing is.
  2. Alternatieve Doorgiftemechanismen: Voor zover het Bedrijf een alternatief gegevensexportmechanisme aanneemt dat niet wordt beschreven in deze GBO (met inbegrip van een nieuwe versie van of opvolger voor de Standaardclausules die zijn aangenomen krachtens de toepasselijke Europese wetgeving inzake gegevensbescherming) voor de doorgifte van Persoonsgegevens (Alternatief doorgiftemechanisme), is het Alternatieve doorgiftemechanisme van toepassing in plaats van elk toepasselijk doorgiftemechanisme dat wordt beschreven in deze GBO (maar alleen voor zover een dergelijk Alternatief doorgiftemechanisme (i) voldoet aan de Europese wetgeving inzake gegevensbescherming, (ii) zich uitstrekt tot de grondgebieden waarnaar Persoonsgegevens worden doorgegeven, en (iii) voldoet aan de onderstaande kennisgevingsoverwegingen) en (iv) het Bedrijf dergelijke andere en verdere documenten uitvoert en dergelijke andere en verdere acties onderneemt die redelijkerwijs nodig kunnen zijn om een dergelijk Alternatief Doorgiftesmechanisme rechtsgeldig te maken. Bovendien, als en voor zover een bevoegde rechtbank of een toezichthoudende autoriteit met bindende bevoegdheid beveelt of bepaalt (om welke reden dan ook) dat er niet op de in deze GBO beschreven maatregelen kan worden vertrouwd om dergelijke Persoonlijke informatie van Seagate rechtmatig over te dragen, erkent Seagate en stemt ermee in dat het Bedrijf, onderworpen aan de hieronder beschreven overwegingen met betrekking tot kennisgeving, alle aanvullende maatregelen of waarborgen kan implementeren die redelijkerwijs vereist kunnen zijn om de rechtmatige doorgifte van dergelijke Persoonlijke informatie van Seagate mogelijk te maken. De kennisgevingsoverwegingen vereisen dat het Bedrijf Seagate op[email protected]ten minste 30 werkdagen voordat het Alternatieve Doorgiftesmechanismen of eventuele aanvullende maatregelen implementeert, op de hoogte stelt. Als Seagate niet binnen 30 werkdagen na ontvangst van de kennisgeving bezwaar maakt tegen het voorgestelde Alternatieve Doorgiftesmechanisme of de aanvullende maatregelen, worden het Alternatieve Doorgiftesmechanisme of de maatregelen geacht te zijn goedgekeurd. Als Seagate bezwaar maakt tegen een dergelijk Alternatief Doorgiftesmechanisme of aanvullende maatregelen, dan zal het Bedrijf geen gebruik maken van dergelijke Alternatieve Doorgiftesmechanismen of aanvullende maatregelen. Indien Seagate bezwaar maakt tegen een Alternatief Doorgiftesmechanisme of een aanvullende maatregel, kan Seagate naar eigen goeddunken elke toepasselijke Overeenkomst(en) tussen de partijen en/of hun Dochterondernemingen beëindigen zonder kosten of aansprakelijkheid ten opzichte van het Bedrijf.
  3. Doorgifte uit landen met vereisten voor gegevensexport. Indien er wetgeving inzake gegevensbescherming vereist dat er verdere stappen worden ondernomen met betrekking tot toepasselijke beperkingen op gegevensexport om de doorgifte van Persoonlijke informatie van Seagate aan Bedrijf (inclusief zijn Subverwerkers) mogelijk te maken, zal het Bedrijf voldoen aan dergelijke vereisten voor gegevensbescherming, waaronder het verkrijgen van de vereiste toestemmingen of het uitvoeren van alle toepasselijke overeenkomsten voor gegevensdoorgifte (bijv. modelcontractbepalingen) of een alternatieve oplossing om ervoor te zorgen dat de juiste waarborgen voor een dergelijke doorgifte aanwezig zijn.
2. Overige juridische bepalingen. Indien van toepassing zal het Bedrijf voldoen aan de Vereisten voor specifieke rechtsgebieden, die als Bijlage III zijn bijgevoegd.
NALEVING EN AANSPRAKELIJKHEID
1. Regelnaleving. Het Bedrijf zal garanderen dat de Verwerking van Persoonlijke informatie van Seagate door het Bedrijf en de Subverwerker voldoet aan alle toepasselijke wetgeving, zelfregulerende kaders en contractuele verplichtingen die van toepassing zijn op het Bedrijf en de Subverwerker. Het Bedrijf zal de werkwijzen van het Bedrijf en Subverwerkers jaarlijks beoordelen om te garanderen dat zij voldoen aan deze GBO en aan alle toepasselijke wetgeving. Het Bedrijf zal voor eigen rekening medewerking verlenen aan de verzoeken van Seagate dat het Bedrijf aantoont te voldoen aan de gegevensbeschermings- en beveiligingsbepalingen waarnaar in deze GBO wordt verwezen.
2. Register van Verwerkingsactiviteiten. Het Bedrijf houdt een actueel overzicht bij van de gegevens van de vertegenwoordiger van het Bedrijf en de functionaris voor gegevensbescherming, uitgevoerde categorieën van verwerkingsactiviteiten, informatie met betrekking tot grensoverschrijdende gegevensdoorgifte, een algemene beschrijving van de beveiligingsmaatregelen die geïmplementeerd zijn ten aanzien van de Verwerkte gegevens, de naam, contactgegevens en Verwerkingsdetails van iedere Subverwerker van Persoonlijke informatie van Seagate, en, waar van toepassing, elke vertegenwoordiger en functionaris voor gegevensbescherming van de Subverwerkers. Op verzoek zal het Bedrijf een historische en actuele kopie van dit dossier aan Seagate of de Toezichthoudende Autoriteit verstrekken.
3. Audit. Het Bedrijf zal aan Seagate, op schriftelijk verzoek, alle informatie ter beschikking stellen die nodig is om de naleving van deze GBO aan te tonen, en zal audits, waaronder on-site inspecties, door Seagate of een door Seagate gemachtigde onafhankelijke derde controleur met betrekking tot de Verwerking van Persoonlijke informatie van Seagate, mogelijk maken en hiertoe bijdragen. Elk van deze onafhankelijke derde controleurs zal een vertrouwelijkheidsovereenkomst met de partijen moeten sluiten. Het Bedrijf zal niet-naleving binnen een redelijke termijn verhelpen. Indien verhelpen niet mogelijk is, kan Seagate elke geldende Overeenkomst(en) tussen de partijen en/of hun Dochterondernemingen beëindigen, zonder kosten of aansprakelijkheid jegens de Leverancier.
VERANTWOORDELIJKHEDEN VAN HET BEDRIJF NA EEN INBREUK OP DE GEGEVENSBESCHERMING
1. Kennisgeving van Inbreuk op de gegevensbescherming. Het Bedrijf stelt Seagate schriftelijk op de hoogte van een bekende of vermoedelijke Inbreuk op de gegevensbescherming binnen 24 uur nadat hij op de hoogte is van de mogelijke Inbreuk op de gegevensbescherming, en zal onmiddellijk:
  1. Seagate op de hoogte stellen van de Inbreuk op de gegevensbescherming via [email protected];
  2. de Inbreuk op de gegevensbescherming onderzoeken of de vereiste ondersteuning bieden bij het onderzoek;
  3. Seagate gedetailleerde informatie over de Inbreuk op de gegevensbescherming verstrekken, met inbegrip van, maar niet beperkt tot, de categorieën, locatie en het geraamde aantal Betrokkenen en de categorieën, locatie en het geraamde aantal Persoonlijke informatie van Seagate, en Seagate onverwijld aanvullende gegevens over de Inbreuk op de gegevensbescherming blijven verstrekken zodra deze beschikbaar zijn;
  4. alle commercieel redelijke stappen nemen om de gevolgen van de Inbreuk op de gegevensbescherming te beperken, of Seagate hierbij te ondersteunen; en
  5. een herstelplan implementeren, onder voorbehoud van goedkeuring door Seagate, en het oplossen van inbreuken en kwetsbaarheden met betrekking tot Inbreuken op de gegevensbescherming van Persoonlijke informatie van Seagate monitoren om te garanderen dat de juiste herstelmaatregelen tijdig genomen worden.
2. Opvangen en verhelpen. Het Bedrijf zal Inbreuken op de gegevensbescherming onmiddellijk opvangen en verhelpen en verdere Inbreuk op de gegevensbescherming voorkomen. Het Bedrijf zal ook alle maatregelen nemen die noodzakelijk zijn om te voldoen aan de toepasselijke Wetgeving inzake gegevensbescherming en industrienormen om de Inbreuk op de gegevensbescherming op te vangen.
3. Communicatie. Het Bedrijf zal zonder voorafgaande toestemming van Seagate geen communicaties publiceren inzake een Inbreuk op de gegevensbescherming op een manier die de identiteit van Seagate zou onthullen of waarschijnlijk zou onthullen.
4. Behoud van bewijsmateriaal. Het Bedrijf houdt een noodplan voor incidenten bij. Na de vaststelling van een Inbreuk op de gegevensbescherming houdt het Bedrijf het bewijsmateriaal bij dat verband houdt met de Inbreuk op de gegevensbescherming en houdt deze een duidelijke commandostructuur aan volgens een noodplan voor incidenten van het Bedrijf.
5. Samenwerking. Het Bedrijf werkt samen met Seagate bij rechtszaken, onderzoeken of andere door Seagate vereiste maatregelen om de rechten van Seagate inzake gebruik, openbaarmaking, bescherming en onderhoud van Persoonlijke informatie van Seagate te beschermen. Het Bedrijf stemt verder ook in met het bieden van redelijke bijstand en samenwerking die door Seagate en/of de door Seagate aangewezen vertegenwoordigers wordt aangevraagd, ter bevordering van het corrigeren of verhelpen van of het onderzoek naar een Inbreuk op de gegevensbescherming en/of het beperken van enige mogelijke schade, met inbegrip van alle kennisgevingen die Seagate geschikt acht om naar de Betrokkenen, toezichthouders of derden te verzenden, en/of het verlenen van een kredietrapportageservice die Seagate geschikt acht om aan de betreffende Betrokkenen te leveren. Het Bedrijf is verantwoordelijk voor de redelijke kosten van Seagate die verband houden met een Inbreuk op de gegevensbescherming door een Leverancier, met inbegrip van, maar niet beperkt tot, onderzoeken, verhelpen en kennisgeven.
RETOURNERING EN VEILIGE VERWIJDERING VAN Persoonlijke informatie van Seagate
1. Gegevensintegriteit. Het Bedrijf zal voldoen aan alle instructies van Seagate om de gegevensintegriteit te handhaven, met inbegrip van (a) het verwijderen van Persoonlijke informatie van Seagate die door het Bedrijf worden bijgehouden maar die niet langer nodig zijn om Diensten te verlenen, tenzij het bijhouden van Persoonlijke informatie van Seagate wordt vereist door de wetgeving inzake gegevensbescherming; (b) ervoor zorgen dat alle Persoonlijke informatie van Seagate die door het Bedrijf namens Seagate zijn aangemaakt, nauwkeurig zijn en actueel worden gehouden; en (c) Seagate op verzoek toegang verlenen tot alle Persoonlijke informatie van Seagate, een en ander in overeenstemming met de toepasselijke wetgeving.
2. Retournering en verwijdering van Persoonlijke informatie van Seagate. (a) Op verzoek van Seagate of, indien die omstandigheid zich eerder voordoet, (b) na afloop of vervroegde beëindiging van de Overeenkomst(en) tussen de partijen en/of hun Dochterondernemingen, met betrekking tot de Verwerking van Persoonsgegevens van het Bedrijf, zal, naar eigen inzicht van Seagate, het Bedrijf de Persoonlijke informatie van Seagate exporteren, of zijn Subverwerkers hiertoe de opdracht geven, of Seagate of zijn aangewezen derde partij de mogelijkheid bieden om alle Persoonlijke informatie van Seagate te exporteren in een door computers leesbaar en compatibel formaat, tenzij het bewaren van Persoonlijke informatie van Seagate vereist is door Toepasselijke privacywetgevingen. Het Bedrijf houdt de Persoonlijke informatie van Seagate bij zolang Seagate dit noodzakelijk acht, zodat Seagate kosteloos de Persoonlijke informatie van Seagate volledig kan openen en exporteren. Elke partij wijst een contactpersoon aan om de Persoonlijke informatie van Seagate te migreren en zal snel, nauwgezet en te goeder trouw werken om een spoedige doorgifte mogelijk te maken. Binnen 90 dagen nadat Seagate (a) bevestigt dat Persoonlijke informatie van Seagate ontvangen en correct gemigreerd zijn, of (b) het Bedrijf inlicht over zijn keuze om de Persoonlijke informatie van Seagate niet te migreren, zullen het Bedrijf en zijn Subverwerkers alle Persoonlijke informatie van Seagate veilig vernietigen, alle werkplekidentifiers van Seagate loskoppelen en de Persoonlijke informatie van Seagate overschrijven met nieuwe gegevens of anderszins vernietigen door middel van een goedgekeurde opschoonmethode.
3. Vernietiging van Persoonlijke informatie van Seagate. Als het Bedrijf zich ontdoet van een papieren, elektronisch of ander dossier dat Persoonlijke informatie van Seagate bevat, zal het Bedrijf dit doen door alle redelijke stappen te ondernemen (gebaseerd op de gevoeligheid van de Persoonlijke informatie van Seagate) om Persoonlijke informatie van Seagate te vernietigen, tenzij het bewaren van Persoonlijke informatie van Seagate vereist is door de Wetgeving inzake gegevensbescherming: (a) versnipperen; (b) permanent wissen en verwijderen; (c) demagnetiseren; of (d) de Persoonlijke informatie van Seagate op die media anderszins wijzigen om deze onleesbaar, onherstelbaar en onontcijferbaar te maken. Indien het Bedrijf een harde schijf die een kopie van Persoonlijke informatie van Seagate bevat, buiten bedrijf stelt of op andere wijze uit bedrijf neemt, dient het Bedrijf de harde schijf veilig te versnipperen of te vernietigen, zodat de Persoonlijke informatie van Seagate onleesbaar en vernietigd worden conform de norm NIST 800- 88, revisie 1. Het Bedrijf certificeert schriftelijk dat de harde schijf is versnipperd of vernietigd en dat de Persoonlijke informatie van Seagate niet gelezen, opgehaald of anderszins hersteld kunnen worden.
4. Melding van retentie. Indien het Bedrijf wettelijk verplicht is om Persoonlijke informatie van Seagate langer te bewaren dan de door deze GBO toegestane termijn, stelt het Bedrijf Seagate schriftelijk op de hoogte van zijn verplichting, zal het Bedrijf de Persoonlijke informatie van Seagate niet verder verwerken dan het bewaren van dergelijke informatie om aan de wettelijke verplichting van het Bedrijf te voldoen, en zal hij Persoonlijke informatie van Seagate zo spoedig mogelijk na afloop van de wettelijk vereiste retentieperiode retourneren of vernietigen. Deze GBO blijft van kracht tot het Bedrijf geen Persoonlijke informatie van Seagate meer in bewaring of beheer heeft, noch er toegang toe heeft.
5. Documentatie. Het Bedrijf documenteert de bewaring en verwijdering van Persoonlijke informatie van Seagate in overeenstemming met deze GBO. Op verzoek van Seagate documenteert het Bedrijf de bewaring en verstrekt hij een schriftelijke certificering dat Persoonlijke informatie van Seagate veilig vernietigd zijn in overeenstemming met deze GBO.
DIVERSEN
1. Looptijd. Deze GBO blijft van kracht tot (i) er tussen de partijen geen actieve overeenkomsten meer zijn en tot (ii) het Bedrijf geen Persoonlijke informatie van Seagate meer in bewaring of beheer heeft, noch er toegang toe heeft. Het Bedrijf zal Persoonsgegevens van het Seagate Verwerken totdat de relatie wordt beëindigd zoals aangegeven in de Overeenkomst. De verplichtingen van het Bedrijf en de rechten van Seagate onder deze GBO blijven van kracht zolang het Bedrijf Persoonlijke informatie van Seagate verwerkt.
2. Rangorde. In het geval van tegenstrijdigheden tussen deze GBO en enige Overeenkomst(en) tussen de partijen en/of hun Dochterondernemingen, prevaleren de bepalingen van deze GBO, met uitzondering van tegenstrijdigheden met betrekking tot Bijlage II (Beveiligingsnormen), in welk geval de andere Overeenkomst(en) prevaleren, voor zover de beveiligingsnormen in de andere Overeenkomst(en) een aanvulling vormen op de minimumvereisten zoals uiteengezet in Bijlage II. Deze GBO begrenst, noch beperkt de Standaardbepalingen, en wordt geacht alleen te worden opgevat als een aanvulling van de Standaardbepalingen.
3. Updates. Het bedrijf zal redelijkerwijs meewerken aan het bijwerken van deze GBO als dat nodig is om naleving van de toepasselijke wet- en regelgeving te waarborgen.
4. Externe begunstigden. De Dochterondernemingen van Seagate zijn aangewezen externe begunstigden van deze GBO; en zij mogen de bepalingen van deze GBO handhaven alsof zij een ondertekenaar zijn van deze GBO. Seagate mag ook de bepalingen van deze GBO handhaven namens zijn Dochterondernemingen, in plaats van zijn Dochterondernemingen apart een rechtsvordering te laten instellen tegen het Bedrijf.
5. Openbaarmaking van GBO aan Toezichthoudende autoriteit. Seagate kan een samenvatting of kopie van deze GBO aan een Toezichthoudende autoriteit verstrekken.
6. Scheidbaarheid. Indien een van de bepalingen van deze GBO niet van kracht of nietig is, is dit niet van invloed op de overige bepalingen. De partijen zullen de niet van kracht zijnde of ongeldige bepaling vervangen door een wettige bepaling die het doel van de niet van kracht zijnde of ongeldige bepaling weergeeft. Indien een noodzakelijke bepaling ontbreekt, voegen de partijen te goeder trouw een geschikte bepaling toe.
7. Interpretatie. De titels in deze GBO zijn alleen bestemd voor referentiedoeleinden en hebben geen invloed op de interpretatie van deze overeenkomst.

BIJLAGE I

BESCHRIJVING VAN GEGEVENSVERWERKING

Deze Bijlage I maakt deel uit van de Standaardclausules.

MODULE TWEE: Doorgifte - Verwerkingsverantwoordelijke naar Verwerker (relevant voor persoonlijke informatie van Seagate) (C2P)

A. LIJST VAN PARTIJEN

GEGEVENSEXPORTEUR
Naam en adres	Seagate Technology LLC, ondertekenend namens Dochterondernemingen en filialen 47488 Kato Road, Fremont, CA, 94538
Naam en contactgegevens contactpersoon	Seagate Technology LLC, ondertekenend namens Dochterondernemingen en filialen 47488 Kato Road, Fremont, CA, 94538 [email protected]
Activiteiten die relevant zijn voor de onder deze standaardclausules doorgegeven gegevens	Seagate Technology LLC, ondertekenend namens Dochterondernemingen en filialen, is een leverancier van hardwareproducten en softwareoplossingen en -diensten ter ondersteuning van bedrijfsprocessen van verschillende industriesegmenten.
Handtekening en datum:	Door het aangaan van de Overeenkomst(en) waarin deze GBO is opgenomen, wordt de gegevensexporteur geacht deze hierin opgenomen Standaardclausules, inclusief de Bijlagen, te hebben ondertekend vanaf de ingangsdatum van de Overeenkomst(en).
Rol gegevensexporteur (Verwerkingsverantwoordelijke/Verwerker):	Zoals uiteengezet in Paragraaf 2.1 (Status van de Partijen) van deze GBO.

GEGEVENSIMPORTEUR
Naam en adres	Bedrijfsnaam en adres (zoals gespecificeerd in de Overeenkomst(en)
Naam, functie en contactgegevens van de contactpersoon:	Bedrijfsnaam en adres (zoals gespecificeerd in de Overeenkomst(en)
Activiteiten die relevant zijn voor de gegevens die onder deze Standaardbepalingen worden doorgegeven:	Bedrijf is een dienstverlener die diensten en ondersteuning levert aan gegevensexporteur, zoals beschreven in de Overeenkomst(en).
Handtekening en datum:	Door het aangaan van de Overeenkomst(en) waarin deze GBO is opgenomen, wordt de gegevensimporteur geacht deze hierin opgenomen Standaardclausules, inclusief hun Bijlagen, te hebben ondertekend vanaf de ingangsdatum van de Overeenkomst(en).
Rol van gegevensimporteur	Zoals uiteengezet in Paragraaf 2.1 (Status van de Partijen) van deze GBO.

B. BESCHRIJVING VAN DOORGIFTE

Ca tegorieën van betrokkenen	De doorgegeven persoonsgegevens kunnen betrekking hebben op de volgende categorieën van betrokkenen: - vroeger en nu: o werknemers, adviseurs, consultants, leveranciers, aannemers, onderaannemers en agenten van Seagate; o zakelijke partners en potentiële zakelijke partners van Seagate, en hun werknemers, partners, adviseurs, consultants, leveranciers, aannemers, onderaannemers en agenten; o potentiële marketingleads en vroegere en huidige consumenten; o vroegere en huidige klanten van Seagate, en hun werknemers, partners, adviseurs, consultants, leveranciers, aannemers, onderaannemers en agenten.
Categorieën van Persoonsgegevens die worden doorgegeven	Persoonsgegevens die door Seagate of namens Seagate aan het Bedrijf worden verstrekt, of door het Bedrijf worden verzameld, en die betrekking hebben op de hierboven vermelde Categorieën van betrokkenen, zoals noodzakelijk voor het Bedrijf om de Diensten aan Seagate te verlenen krachtens de Overeenkomst(en) en in overeenstemming met de gedocumenteerde rechtmatige instructies van Seagate, die contactgegevens kunnen omvatten, zoals voornaam, achternaam, e-mailadres, zakelijk adres, telefoonnummer en eventuele andere persoonsgegevens die door Seagate worden verstrekt.
Overgedragen gevoelige gegevens (indien van toepassing) en toegepaste beperkingen of beveiligingen die volledig rekening houden met de aard van de gegevens en de risico's**	Zoals uiteengezet in de Overeenkomst(en)
Frequentie van de doorgifte	Doorlopend, tenzij anders bepaald in de Overeenkomst(en) of in een document tussen de partijen.
Aard van de verwerking/verwerkingsactiviteiten	Zoals beschreven in de Overeenkomst(en).
Doel van de gegevensdoorgifte en -verwerking	Om de Diensten onder de relevante Overeenkomst(en) te leveren.
De periode gedurende welke de Persoonsgegevens zullen worden bewaard, of indien niet mogelijk, de criteria om die termijn te bepalen	De persoonsgegevens worden bewaard: (a) in overeenstemming met Paragraaf 6.2 van deze GBO (Retournering en verwijdering van Persoonlijke informatie van Seagate); of (b) zoals anderszins wettelijk vereist; of (c) of voor de duur die vermeld is in de Overeenkomst(en) of een ander document tussen de partijen dat de relevante informatie bevat die van toepassing is op de betreffende Diensten; welke van de twee het langst is.
Bij doorgifte aan subverwerkers, ook onderwerp, aard en duur van de verwerking specificeren	Het Bedrijf verstrekt het onderwerp, de aard en de duur van de verwerking voor overdrachten aan subverwerkers aan [email protected], indien deze informatie niet anderszins is vastgelegd in de Overeenkomst(en) of in een aanvullend document dat tussen de partijen is overeengekomen.

C. BEVOEGDE TOEZICHTHOUDENDE AUTORITEIT

De bevoegde toezichthoudende autoriteit is, in overeenstemming met Bepaling 13 van de MCB's van de EU, ofwel (i) de toezichthoudende autoriteit die van toepassing is op de gegevensexporteur in het EER-land van vestiging, of (ii) wanneer de gegevensexporteur niet in de EER is gevestigd, de toezichthoudende autoriteit die van toepassing is in het EER-land waar de EU-vertegenwoordiger van de gegevensexporteur is aangewezen overeenkomstig Artikel 27(1) van de EU AVG, of (iii) wanneer de gegevensexporteur niet verplicht is een vertegenwoordiger aan te wijzen, de toezichthoudende autoriteit die van toepassing is op het EER-land waar de voor de doorgifte relevante Betrokkenen zich bevinden. Met betrekking tot de Verwerking van Persoonsgegevens waarop de AVG van het VK van toepassing is, is de bevoegde toezichthoudende autoriteit het Information Commissioner's Office (het "ICO"). Met betrekking tot de Verwerking van Persoonsgegevens waarop de Zwitserse WoGB van toepassing is, is de bevoegde toezichthoudende autoriteit de Zwitserse Federal Data Protection and Information Commissioner ("FDPIC").

BIJLAGE II

BEVEILIGINGSSTANDAARDEN

Deze Bijlage II maakt deel uit van de Standaardclausules.

Deze Bijlage II geeft de minimale veiligheidsmaatregelen weer die door het Bedrijf zullen worden genomen. Als voor enige overeenkomst(en) tussen de partijen het Bedrijf een hoger niveau van beveiligingsmaatregelen moet toepassen of uitgebreidere beveiligingsmaatregelen moet nemen, zal het Bedrijf aan die voorwaarden voldoen. Het Bedrijf moet verschillende beleidslijnen, normen en processen bijhouden en handhaven die ontworpen zijn om Persoonlijke informatie van Seagate en andere gegevens te beveiligen conform industriestandaarden, zoals het Cyber Security Framework van NIST en ISO 27001 of 27002, waartoe werknemers van het Bedrijf toegang wordt verleend.

Beleid en standaarden voor gegevensbeveiliging. Het Bedrijf moet voor het Personeel van het Bedrijf en alle onderaannemers, leveranciers of vertegenwoordigers die toegang hebben tot Persoonlijke informatie van Seagate beveiligingsmaatregelen implementeren die voor deze doeleinden zijn ontworpen:
1. voorkomen dat ongeautoriseerde personen toegang krijgen tot systemen die Persoonlijke informatie van Seagate Verwerken (fysieke toegangscontrole);
2. voorkomen dat systemen die Persoonlijke informatie van Seagate Verwerken zonder toestemming worden gebruikt (logische toegangscontrole);
3. controleren of personen die toestemming hebben om een systeem dat Persoonlijke informatie van Seagate Verwerkt te gebruiken, alleen toegang kunnen krijgen tot dergelijke Persoonlijke informatie van Seagate waartoe zij toegang mogen hebben in overeenstemming met hun goedgekeurde toegangsrechten en of Persoonlijke informatie van Seagate bij de Verwerking of het gebruik en na de opslag niet zonder toestemming kunnen worden gelezen, gekopieerd, gewijzigd of verwijderd (gegevenstoegangscontrole);
4. controleren of Persoonlijke informatie van Seagate niet zonder toestemming kunnen worden gelezen, gekopieerd, gewijzigd of verwijderd bij elektronische doorgifte, transport of opslag, en of de doelentiteiten voor elke doorgifte van Persoonlijke informatie van Seagate door middel van voorzieningen voor gegevensdoorgifte kunnen worden vastgesteld en geverifieerd (gegevensdoorgiftecontrole);
5. controleren of een audittrail wordt gecreëerd om te documenteren of en door wie Persoonlijke informatie van Seagate zijn ingevoerd, gewijzigd, overgedragen of verwijderd bij de Verwerking van Persoonlijke informatie van Seagate (invoercontrole);
6. controleren of Persoonlijke informatie van Seagate uitsluitend volgens de instructies worden Verwerkt (controle van instructies);
7. controleren of Persoonlijke informatie van Seagate beschermd zijn tegen onopzettelijke vernietiging of onopzettelijk verlies (beschikbaarheidscontrole); en
8. controleren of Persoonlijke informatie van Seagate die voor verschillende doeleinden worden verzameld apart kunnen worden verwerkt (scheidingscontrole).
Het Bedrijf zal periodieke risicobeoordelingen uitvoeren en zijn informatiebeveiligingspraktijken onderzoeken en, indien van toepassing, aanpassen en dit ten minste jaarlijks of bij elke materiële wijziging van de handelspraktijken van het Bedrijf die redelijkerwijs van invloed kunnen zijn op de beveiliging, vertrouwelijkheid of integriteit van Persoonlijke informatie van Seagate, op voorwaarde dat het Bedrijf zijn informatiebeveiligingspraktijken niet zodanig wijzigt dat de vertrouwelijkheid, beschikbaarheid of integriteit van de Persoonlijke informatie van Seagate afneemt of in gevaar wordt gebracht.
Fysieke beveiliging. Het Bedrijf moet commercieel redelijke beveiligingssystemen in stand houden op alle locaties van het Bedrijf waar zich een informatiesysteem bevindt dat Persoonlijke informatie van Seagate gebruikt of bevat. Het Bedrijf beperkt de toegang tot dergelijke Persoonlijke informatie van Seagate op redelijke en gepaste wijze.
Organisatorische beveiliging.
1. Wanneer media moeten worden afgevoerd of hergebruikt, moeten procedures worden geïmplementeerd om te voorkomen dat Persoonlijke informatie van Seagate die op de media zijn opgeslagen, later worden opgevraagd voordat ze uit de inventaris worden verwijderd. Wanneer als gevolg van onderhoudswerkzaamheden media de gebouwen moeten verlaten waarin de bestanden zich bevinden, moeten procedures worden geïmplementeerd om te voorkomen dat Persoonlijke informatie van Seagate die erin zijn opgeslagen onrechtmatig worden opgevraagd.
2. Het Bedrijf moet beveiligingbeleidslijnen en -procedures implementeren om middelen met Gevoelige gegevens te classificeren, de verantwoordelijkheden op het gebied van veiligheid verduidelijken en de bewustwording van werknemers bevorderen.
3. Alle beveiligingsincidenten met Persoonlijke informatie van Seagate moeten worden beheerd in overeenstemming met de procedures van een geschikt noodplan.
4. Het Bedrijf moet alle Gevoelige gegevens bij verzending en in rust versleutelen met behulp van industriestandaard versleutelingstools.
Netwerkbeveiliging. Het Bedrijf moet de netwerkbeveiliging in stand houden met behulp van commercieel beschikbare apparatuur en industriestandaard technieken, met inbegrip van firewalls, systemen voor indringingsdetectie en -preventie, toegangscontrolelijsten en routeringsprotocollen.
Toegangscontrole. Het Bedrijf moet geschikte toegangscontroles in stand houden, met inbegrip van, maar niet beperkt tot, de beperking van toegang tot Persoonlijke informatie van Seagate tot het minimum aantal leden van het Personeel van het Bedrijf dat dergelijke toegang nodig heeft.
1. Alleen bevoegd personeel mag de toegang tot een informatiesysteem dat Persoonlijke informatie van Seagate gebruikt of bevat, verlenen, wijzigen of herroepen. Het Bedrijf moet de juiste toegangsgegevens bijhouden en deze op verzoek van Seagate aan Seagate voorleggen.
2. Gebruikersbeheerprocedures moeten gebruikersrollen definiëren, alsook hun rechten en hoe toegang wordt verleend, gewijzigd en beëindigd; in een passende scheiding van taken voorzien en de vereisten en mechanismen voor logging/monitoring bepalen.
3. Alle werknemers van het Bedrijf moeten een uniek gebruikers-id toegewezen krijgen.
4. Toegangsrechten moeten worden geïmplementeerd volgens de methode “alleen strikt noodzakelijke rechten”.
5. Het Bedrijf moet commercieel redelijke fysieke en elektronische beveiliging implementeren om wachtwoorden te creëren en te beveiligen.
Virus- en malwarecontroles. Het Bedrijf moet op het systeem de recentste software ter bescherming tegen virussen en malware installeren en in stand houden. Het Bedrijf moet ook beschikken over geplande malwaremonitoring en systeemscans om Persoonlijke informatie van Seagate te beschermen tegen verwachte bedreigingen of gevaren en bescherming bieden tegen ongeautoriseerde toegang tot of ongeautoriseerd gebruik van Persoonlijke informatie van Seagate.
Personeel. Alvorens het Personeel van het Bedrijf toegang te verlenen tot Persoonlijke informatie van Seagate, moet het Bedrijf ervoor zorgen dat het Personeel van het Bedrijf voldoet aan het informatiebeveiligingsprogramma van het Bedrijf. Het Bedrijf moet een bewustmakingsprogramma voor beveiliging implementeren om het Personeel van het Bedrijf op te leiden over hun beveiligingsverplichtingen. Dit programma bevat een training over gegevensclassificatieverplichtingen, fysieke beveiligingscontroles, beveiligingspraktijken en rapportage van beveiligingsincidenten. Het Bedrijf heeft duidelijk omschreven rollen en verantwoordelijkheden voor de werknemers. Screening wordt geïmplementeerd vóór de tewerkstelling en de voorwaarden en bepalingen van de tewerkstelling worden adequaat toegepast. Werknemers van het Bedrijf moeten de vastgelegde beleidsregels en procedures strikt naleven. Indien werknemers een Inbreuk op de gegevensbescherming plegen, moet een disciplinaire procedure worden toegepast.
Bedrijfscontinuïteit. Het Bedrijf implementeert geschikte plannen voor back-ups, noodherstel en bedrijfshervatting. Het Bedrijf herziet de plannen voor bedrijfscontinuïteit en risicobeoordeling regelmatig. Plannen voor bedrijfscontinuïteit worden regelmatig getest en bijgewerkt om ervoor te zorgen dat ze up-to-date en doeltreffend zijn.
Hoofdbeveiligingsbeheerder. Het Bedrijf moet Seagate in kennis stellen van zijn aangeduide hoofdbeveiligingsbeheerder. De beveiligingsbeheerder is verantwoordelijk voor het beheer en de coördinatie van de prestaties van de verplichtingen van het Bedrijf die vastgelegd zijn in het informatiebeveiligingsprogramma van het Bedrijf en in deze GBO
Audit. Seagate behoudt zich het recht voor om de verbintenissen van het Bedrijf zoals vermeld in deze Bijlage IIin overeenstemming met paragraaf 4.4 "Audit" van deze GBO.
Inbreuk. Als wordt vastgesteld dat het Bedrijf een inbreuk heeft gepleegd op deze GBO, moet het Bedrijf een dergelijke inbreuk zonder onnodige vertraging en in ieder geval binnen 30 kalenderdagen verhelpen. Elke bekende of vermoede Inbreuk op de gegevensbescherming wordt beheerst door Paragraaf 5 "Verantwoordelijkheden van het Bedrijf na een Inbreuk op de gegevensbescherming" van deze GBO.

Bijlage III

GEGEVENSBESCHERMINGVEREISTEN VOOR SPECIFIEKE RECHTSGEBIEDEN

De volgende vereisten zijn van toepassing op de aangegeven rechtsgebieden:

AUSTRALIË
1. Toepasbaarheid. De bepalingen van deze Paragraaf 1 zijn van toepassing waar (a) het Bedrijf Persoonlijke informatie van Seagate ontvangt of er toegang toe krijgt vanuit een Dochteronderneming van Seagate in Australië; of waar (b) Seagate het Bedrijf in kennis stelt van het feit dat Persoonlijke informatie van Seagate onderworpen zijn aan deze vereisten.
2. Lidmaatschap van een beroepsgroep of handelsorganisatie. De term “Gevoelige gegevens” omvat ook Persoonsgegevens over het lidmaatschap van een lid van een beroepsgroep of handelsorganisatie.
3. Australische privacybeginselen. Het Bedrijf moet voldoen aan alle toepasselijke verplichtingen van de Privacy Act 1988 (Cth), met inbegrip van de Australische privacybeginselen, wanneer hij Persoonlijke informatie van Seagate verwerkt of anderszins de Diensten levert in overeenstemming met deze GBO.
4. Kennisgeving van gebruik of openbaarmaking voor handhavingsdoeleinden. Indien het Bedrijf Persoonsgegevens gebruikt of openbaar maakt voor een of meer handhavingsactiviteiten, uitgevoerd door of namens een handhavingsinstantie, bewaart het Bedrijf een schriftelijk verslag van het gebruik en de openbaarmaking en overhandigt het Bedrijf zo spoedig mogelijk een kopie van dit verslag aan Seagate, tenzij dit wettelijk verboden is.
5. Australische overheid en gerelateerde identificatiemiddelen Waar de Persoonsgegevens identificatiemiddelen van de Australische overheid bevat, zal het Bedrijf (a) het identificatiemiddel van de Australische overheid voor een individu niet gebruiken als zijn eigen identificatiemiddel voor het individu tenzij uitdrukkelijk hiertoe opdracht gegeven door Seagate; en (b) het identificatiemiddel van de Australische overheid niet gebruiken of openbaar maken behalve daar waar redelijkerwijs noodzakelijk om de identiteit van het individu te verifiëren, of anderzijds uitdrukkelijk hiertoe opdracht is gegeven door Seagate.
6. Verzamelen van Persoonsgegevens. Indien het Bedrijf volgens de instructies van Seagate namens Seagate persoonsgegevens moet verzamelen, moet het Bedrijf (a) instructies inwinnen bij Seagate met betrekking tot (i) alle gegevens die moeten worden verstrekt aan de Betrokkene in verband met het verzamelen van de persoonsgegevens van de Betrokkene; en (ii) alle vereiste 'opt-in'-toestemmingen voor directmarketingdoeleinden; en mag het Bedrijf (b) geen Gevoelige gegevens verzamelen, noch zonder de toestemming van de Betrokkene.
7. Bedrijfsovereenkomsten met de Australische overheid. Indien Seagate een gecontracteerde dienstverlener is voor een Australische overheidsinstantie op federaal, deelstaat- of territoriaal niveau en voor zover Seagate op grond van een overeenkomst met de desbetreffende overheidsinstantie gebonden is te voldoen aan aanvullende verplichtingen inzake gegevensbescherming, zal Seagate gelijkwaardige verplichtingen opleggen aan het Bedrijf, zoals vereist volgens de toepasselijke Australische wetgeving. Seagate en het Bedrijf gaan ermee akkoord aanvullende overeenkomsten te sluiten, indien vereist, waarin deze verplichtingen tot uiting komen.
CHINA
1. Toepasbaarheid. De bepalingen van deze Paragraaf 2 zijn van toepassing waar het Bedrijf Persoonlijke informatie van Seagate ontvangt of er toegang toe krijgt vanuit een Dochteronderneming van Seagate in China, of waar (b) Seagate het Bedrijf in kennis stelt van het feit dat Persoonlijke informatie van Seagate onderworpen zijn aan deze vereisten.
2. PIPL-rollen. Onder de Wet Bescherming Persoonsgegevens van de PRC (PIPL) zal Seagate optreden als Verwerker van Persoonsgegevens, die beslist over de doeleinden en manieren van Verwerking. Het Bedrijf zal de Entrustpartij zijn die namens Seagate Persoonlijke Informatie verwerkt volgens de vereisten van deze GBO en de instructies van Seagate.
3. Subverwerkers. Niettegenstaande Paragraaf 2.4 van de GBO zal het Bedrijf geen Subverwerker inschakelen om Persoonlijke informatie van Seagate te verwerken zonder de uitdrukkelijke toestemming van Seagate. De voorwaarden van een dergelijke toestemming zijn onderworpen aan Paragraaf 2.5 van de GBO.
4. Beperkte verwerkingsduur. Het Bedrijf Verwerkt de Persoonlijke informatie van Seagate alleen gedurende de termijn die nodig is om het doel van de Verwerking te realiseren tenzij partijen een andere termijn zijn overeengekomen.
5. Beperkte Doorgiften. Het bedrijf zal de Persoonlijke informatie van Seagate niet buiten China doorgeven zonder de uitdrukkelijke toestemming van Seagate als de Persoonlijke informatie van Seagate in China wordt opgeslagen of bewaard. Seagate geeft hierbij toestemming aan het Bedrijf om dergelijke Persoonlijke informatie van Seagate waar nodig over te dragen, op voorwaarde dat het Bedrijf alle maatregelen heeft genomen om te voldoen aan de wetten inzake gegevensbescherming voor de bescherming van dergelijke Persoonlijke informatie van Seagate
INDIA
1. Toepasbaarheid. De bepalingen van deze Paragraaf 3 zijn van toepassing waar de Information Technology Act, 2000 ("IT-wetgeving") en Information Technology (Reasonable Security Practices and Procedures and Sensitive Personal Data or Information) Rules, 2011 ("Privacyregels"), zoals van tijd tot tijd gewijzigd en vervangen, van toepassing zijn op de Verwerking door het Bedrijf van Persoonlijke informatie van Seagate die door een Verwerkingsverantwoordelijke in India zijn verstrekt, ongeacht of de Verwerking in India plaatsvindt
2. Bepaling 1.12 van de GBO zal worden gewijzigd om de categorieën van persoonsgegevens op te nemen die worden gespecificeerd in Paragraaf 3 van de Privacyregels
JAPAN
1. Toepasbaarheid. De bepalingen van deze Paragraaf 3 zijn van toepassing op Persoonlijke informatie van Seagate die het Bedrijf ontvangt of waartoe het Bedrijf toegang heeft vanuit een Seagate-dochteronderneming in Japan.
2. Bedrijfspersoneel. Het Bedrijf is verantwoordelijk voor het toezicht op de naleving van de GBO door het Personeel van het Bedrijf.
3. Dienstverbandmanagementmaatregelen. Het Bedrijf beschermt Persoonlijke informatie van Seagate inzake dienstverbandmanagement zoals uiteengezet in de dienstverbandmanagementrichtlijnen van het Japanse ministerie van Gezondheid, Arbeid en Welzijn.
4. Persoonsgegevens waarvan is kennisgenomen tijdens dienstverband. Het Bedrijf garandeert dat zijn werknemers de Persoonlijke informatie van Seagate waarvan zij hebben kennisgenomen tijdens hun dienstverband niet openbaar maken of misbruiken.
5. Toestemming voorafgaand aan doorgifte of openbaarmaking. Het Bedrijf verkrijgt schriftelijke toestemming van Seagate voorafgaand aan het openbaar maken of doorgeven van burgerservicenummers aan derden (inclusief Dochterondernemingen) die geen onderdeel uitmaken van deze GBO, met inbegrip van alle Subverwerkers.
6. Retourneren of vernietigen nadat doelstelling behaald is. Het Bedrijf stopt de Verwerking en retourneert of vernietigt Persoonlijke informatie van Seagate in zijn bezit nadat het doel waarvoor ze verzameld zijn, behaald is.
7. Back-updoeleinden. Het Bedrijf kopieert of reproduceert Persoonlijke informatie van Seagate alleen voor back-updoeleinden.
ZUID-KOREA
1. Toepasbaarheid. De bepalingen van deze Paragraaf 4 zijn van toepassing op Persoonlijke informatie van Seagate die het Bedrijf ontvangt of waartoe het Bedrijf toegang heeft vanuit een Seagate-dochteronderneming in Zuid-Korea.
2. Beperkte toegang. Het Bedrijf beperkt de toegang tot Persoonlijke informatie van Seagate tot Personeel van het Bedrijf dat redelijkerwijs dergelijke toegang vereist in het kader van de Verwerking.
3. Vereiste veiligheidsmaatregelen. Het Bedrijf ontwikkelt en onderhoudt veiligheidsmaatregelen, inclusief:
  1. interne procedures voor de veilige verwerking van Persoonlijke informatie van Seagate;
  2. technische veiligheidsmaatregelen zoals firewalls, antivirus- en antimalwaresoftware;
  3. fysieke toegangsbeperking zoals sloten;
  4. maatregelen om aanpassing of vervalsing van toegangslogs of bewijs van Verwerking te voorkomen;
  5. maatregelen om Persoonlijke informatie van Seagate veilig op te slaan en te verzenden, zoals versleuteling van Persoonlijke informatie van Seagate waar vereist door de Personal Information Protection Act (PIPA), de Enforcement Regulations van PIPA, de Act on Promotion of Information and Communications Network Utilization and Protection of Information (PICNU), de Enforcement Regulations van PICNU ("PICNU Regulations"), de Utilization and Protection of Credit Information Act (UPCIA) of andere Koreaanse wetgeving, waar van toepassing.
4. Versleuteling van bepaalde identificatiegegevens. Het Bedrijf versleutelt burgerregistratienummers, rijbewijsnummers en paspoortnummers indien:
  1. verzonden via een informatie- of communicatienetwerk;
  2. opgeslagen op draagbare opslagmedia of randapparaten;
  3. opgeslagen op externe computernetwerken, of in een gedemilitariseerde zone, of op persoonlijke of mobiele computers; of
  4. opgeslagen op het interne netwerk van het Bedrijf indien de systemen van het Bedrijf niet voldoen aan door Seagate gespecificeerde risicocriteria.
5. Versleuteling van wachtwoorden en biometrische gegevens. Het Bedrijf versleutelt alle wachtwoorden en biometrische gegevens die zijn opgeslagen.
6. Informatie voorafgaand aan openbaarmaking. Voorafgaand aan openbaarmaking of doorgifte van Persoonlijke informatie van Seagate aan een externe Verwerker van gegevens, informeert het Bedrijf tijdig Seagate hierover. Op verzoek van Seagate overhandigt het Bedrijf de volgende informatie: (a) de Verwerkingsactiviteiten die uitbesteed gaan worden; (b) de identiteit van de externe Verwerker van gegevens; en (c) wijzigingen aan (a) of (b).
7. Training. Het Bedrijf neemt deel aan alle trainingen die Seagate besluit beschikbaar te stellen aan het Bedrijf om Persoonlijke informatie van Seagate te beschermen tegen diefstal, lekken, wijzigingen of beschadigingen tijdens de Verwerking van dergelijke Persoonlijke informatie van Seagate.
SINGAPORE
1. Toepasbaarheid. De bepalingen van deze Paragraaf 6 zijn van toepassing waar de Personal Data Protection Act 2012 van Singapore (nr. 26 van 2012) van toepassing is op de Verwerking van Persoonlijke informatie van Seagate door het Bedrijf.
2. Bepaling 1.3 van de GBO wordt vervangen door het volgende:
  1.3 "Inbreuk op gegevensprivacy" betekent elke inbreuk op de beveiliging die leidt tot de toevallige of onwettige vernietiging, het verlies, de wijziging, de ongeoorloofde bekendmaking van, de toegang tot, de verwerving van Persoonlijke informatie van Seagate, met inbegrip van: (a) het ongeautoriseerd openen, verzamelen, gebruiken, openbaar maken, kopiëren, wijzigen of verwijderen van Persoonlijke informatie van Seagate; of (b) het verlies van een opslagmedium of -apparaat waarop Persoonlijke informatie van Seagate zijn opgeslagen in omstandigheden waarin het ongeautoriseerd openen, verzamelen, gebruiken, openbaar maken, kopiëren, wijzigen of verwijderen van Persoonlijke informatie van Seagate waarschijnlijk zal plaatsvinden.
3. Bepaling 5.1 van de GBO wordt vervangen door het volgende:
  5.1 Kennisgeving van Inbreuk op de gegevensbescherming. Wanneer het Bedrijf reden heeft om aan te nemen dat een Inbreuk op de gegevensbescherming heeft plaatsgevonden, zal het Bedrijf het Seagate onverwijld schriftelijk op de hoogte stellen van de Inbreuk op de gegevensbescherming en zal Seagate:
  1. de Inbreuk op de gegevensbescherming onderzoeken of redelijke ondersteuning bieden bij het onderzoek;
  2. Seagate informatie verstrekken over de Inbreuk op de gegevensbescherming en onmiddellijk aanvullende relevante informatie verstrekken zodra deze beschikbaar komt; en
  3. commercieel redelijke stappen ondernemen om de schending van de gegevensprivacy in te perken, de gevolgen van de schending van de gegevensprivacy te beperken of Seagate hierbij helpen op kosten van het Bedrijf.
TAIWAN
1. Toepasbaarheid. De bepalingen van deze Paragraaf 5 zijn van toepassing op Persoonlijke informatie van Seagate die het Bedrijf ontvangt of waartoe het Bedrijf toegang heeft vanuit een Seagate-dochteronderneming in Taiwan.
2. Subverwerkers. Onverminderd Paragraaf 2.4 van de GBO, zal het Bedrijf geen Persoonlijke informatie van Seagate openbaar maken aan of doorgeven aan, of toegang verschaffen tot Persoonlijke informatie van Seagate aan een Subverwerker zonder de uitdrukkelijke schriftelijke toestemming van Seagate.
3. Beperkte verwerkingsduur. Het Bedrijf Verwerkt de Persoonlijke informatie van Seagate alleen gedurende de termijn die nodig is om het doel van de Verwerking te realiseren, tenzij partijen een andere termijn zijn overeengekomen.
4. Bewaring van toegangsgegevens. Het Bedrijf bewaart toegangsgegevens zolang dit nodig is om te garanderen dat zij periodiek gecontroleerd worden op mogelijk ongeautoriseerde toegang.
THAILAND
1. Toepasbaarheid. De bepalingen van deze Paragraaf 6 zijn van toepassing indien de Thaise Wet Bescherming Persoonsgegevens, B.E. 2562 (2019) ("PGBO"), zoals van tijd tot tijd gewijzigd en vervangen, is van toepassing op persoonlijke informatie van Seagate die het bedrijf ontvangt of waartoe het toegang heeft van een in Thailand gevestigde Seagate-dochteronderneming.
2. Bepaling 1.3 van de GBO wordt vervangen door het volgende:
  1.3 "Inbreuk op de gegevensprivacy" betekent een inbreuk op de beveiligingsmaatregelen die leidt tot verlies, toegang, gebruik, wijziging of openbaarmaking van persoonsgegevens op onwettige wijze of zonder toestemming, als gevolg van een opzettelijke, opzettelijke, nalatige, onopzettelijke, onbevoegde of onwettige handeling, of een handeling in verband met computercriminaliteit, cyberdreigingen, fouten of ongelukken, of een andere handeling, zoals voorgeschreven in de kennisgeving uit hoofde van de PGBO.
3. Bepaling 1.12 van de GBO zal worden gewijzigd om de categorieën van persoonsgegevens op te nemen die worden gespecificeerd in Paragraaf 26 van de PGBO
4. BEVEILIGINGSSTANDAARDEN. Het Bedrijf zal zich naar beste vermogen inspannen en alle redelijke acties ondernemen om beveiligingsnormen te implementeren en te handhaven die ten minste in overeenstemming zijn met de vereisten in Bijlage II en met de bepalingen en vereisten die zijn vastgelegd onder de PGBO en alle andere regels, voorschriften, kennisgevingen en/of bevelen die op grond daarvan zijn uitgevaardigd, met inbegrip van, maar niet beperkt tot, de Kennisgeving van het Comité Bescherming Persoonsgegevens: Beveiligingsmaatregelen van de Verwerkingsverantwoordelijke B.E. 2565 (2022), zoals van tijd tot tijd gewijzigd, aangevuld of vervangen kan worden.

De Gegevensbeschermingsovereenkomst is geldig met ingang van 31 juli 2025.

Voor overeenkomsten die zijn voltooid van 20 juni 2024 tot 31 juli 2025, kunt u hier de PDF bekijken:Data Privacy Overeenkomst 20 juni 2024

Voor overeenkomsten die zijn voltooid van 8 december 2022 tot 20 juni 2024, kunt u hier de PDF bekijken:Data Privacy Overeenkomst 8 december 2022

Voor overeenkomsten die zijn voltooid van 11 augustus 2020 tot 8 december 2022, kunt u hier de PDF bekijken:Data Privacy Overeenkomst 11 augustus 2020

Voor overeenkomsten die zijn voltooid van 20 november 2019 tot 10 augustus 2020, kunt u hier de PDF bekijken:Vereisten gegevensbescherming 20 november 2019

Voor overeenkomsten die vóór 31 maart 2019 zijn voltooid, kunt u hier de PDF bekijken:Vereisten gegevensbescherming 31 maart 2019

Producten

Kennisdatabase

Ondersteuning: downloads

Artikelen

suggested searches

Learn more

Read the report

Lees het artikel

Mozaic 3+

Gegevensbeschermingsovereenkomst

BIJLAGE