Pemroses memproses Data Pribadi semata-mata untuk menyediakan layanan yang telah disepakati kepada Pengendali. Sehubungan dengan Data Pribadi tersebut, Pengendali bertindak sebagai pengendali dan Nashua bertindak sebagai pemroses. Masing-masing pihak mematuhi kewajibannya sendiri berdasarkan hukum pelindungan data yang berlaku. Rincian pemrosesan, kategori subjek data, dan jenis Data Pribadi diatur dalam Lampiran A.

Pemroses memproses Data Pribadi hanya berdasarkan instruksi terdokumentasi dari Pengendali, termasuk perjanjian dan DPA ini, serta sebagaimana diperlukan untuk menyediakan layanan, kecuali diwajibkan untuk memproses berdasarkan hukum Uni atau Negara Anggota, yang dalam hal itu Pemroses terlebih dahulu memberitahukan kepada Pengendali kecuali hukum tersebut melarangnya. Pemroses memberitahukan kepada Pengendali apabila, menurut pendapatnya, suatu instruksi melanggar hukum pelindungan data.

Pemroses memastikan bahwa orang-orang yang berwenang memproses Data Pribadi terikat oleh kewajiban kerahasiaan yang layak dan memproses data hanya sesuai instruksi. Akses dibatasi pada personel yang membutuhkannya untuk menyediakan layanan.

Pemroses menerapkan langkah teknis dan organisasional yang layak untuk memastikan tingkat keamanan yang sesuai dengan risiko, sebagaimana diwajibkan oleh Pasal 32 GDPR. Langkah-langkah ini diuraikan dalam Lampiran B dan mencerminkan program keamanan informasi yang selaras dengan ISO/IEC 27001 dan SOC 2 Trust Services Criteria, serta memperhitungkan kewajiban Pemroses berdasarkan DORA dan NIS2 sebagaimana diterapkan dalam hukum Belanda. Pemroses dapat memperbarui langkah-langkah tersebut sepanjang tingkat pelindungan tidak berkurang.

Pengendali memberikan otorisasi umum kepada Pemroses untuk melibatkan subpemroses guna menyediakan layanan, termasuk penyedia hosting dan infrastruktur yang tercantum dalam Lampiran C. Pemroses membebankan kepada setiap subpemroses, melalui kontrak, kewajiban pelindungan data yang setara dengan kewajiban dalam DPA ini, dan tetap bertanggung jawab sepenuhnya kepada Pengendali atas kinerja setiap subpemroses. Pemroses memberitahukan kepada Pengendali mengenai perubahan subpemroses yang direncanakan, dengan memberikan kesempatan yang wajar kepada Pengendali untuk mengajukan keberatan atas dasar pelindungan data yang wajar.

Pemroses tidak mentransfer Data Pribadi ke luar Wilayah Ekonomi Eropa tanpa keputusan kecukupan atau perlindungan yang layak berdasarkan Bab V GDPR, khususnya Standard Contractual Clauses dari Komisi Eropa beserta setiap langkah tambahan yang diperlukan. Secara baku, Data Pribadi dihosting di dalam wilayah Belanda dan EEA.

Dengan memperhitungkan sifat pemrosesan, Pemroses membantu Pengendali melalui langkah teknis dan organisasional yang layak, sejauh dimungkinkan, dalam memenuhi kewajiban Pengendali untuk menanggapi permintaan dari subjek data yang menjalankan haknya, dan membantu Pengendali dalam memastikan kepatuhan terhadap kewajibannya berdasarkan Pasal 32 sampai 36 GDPR, termasuk keamanan, pemberitahuan pelanggaran, penilaian dampak pelindungan data, dan konsultasi pendahuluan, dengan memperhitungkan informasi yang tersedia bagi Pemroses.

Pemroses memberitahukan kepada Pengendali tanpa penundaan yang tidak semestinya setelah mengetahui adanya pelanggaran data pribadi yang memengaruhi Data Pribadi Pengendali, dan menyediakan informasi yang secara wajar dibutuhkan Pengendali untuk memenuhi kewajiban pemberitahuannya sendiri kepada otoritas pengawas dan subjek data. Pemroses mendokumentasikan pelanggaran serta tindakan perbaikan yang diambil.

Pada saat pengakhiran layanan, dan atas pilihan Pengendali, Pemroses menghapus atau mengembalikan seluruh Data Pribadi serta menghapus salinan yang ada, kecuali hukum Uni atau Negara Anggota mewajibkan penyimpanan. Atas permintaan, Pemroses mengonfirmasi secara tertulis bahwa hal tersebut telah dilakukan.

Pemroses menyediakan kepada Pengendali informasi yang diperlukan untuk membuktikan kepatuhan terhadap Pasal 28 GDPR, serta memungkinkan dan berkontribusi pada audit, termasuk inspeksi, yang dilakukan oleh Pengendali atau auditor yang ditugaskannya. Pemroses dapat memenuhi permintaan audit dengan menyediakan sertifikasi dan atestasi terkini, seperti sertifikat ISO/IEC 27001 atau laporan SOC 2, dan audit dilaksanakan dengan pemberitahuan yang wajar, selama jam kerja, dengan tunduk pada kerahasiaan dan tanpa gangguan yang tidak wajar terhadap operasi Pemroses.

Tanggung jawab masing-masing pihak berdasarkan DPA ini tunduk pada pembatasan tanggung jawab yang disepakati dalam perjanjian utama, sepanjang diizinkan oleh hukum yang bersifat memaksa. Tidak ada ketentuan dalam DPA ini yang membatasi hak subjek data berdasarkan GDPR atau tanggung jawab salah satu pihak terhadap otoritas pengawas.

DPA ini berlaku bersama dengan perjanjian dan tetap berlaku selama Pemroses memproses Data Pribadi atas nama Pengendali. DPA ini diatur oleh hukum Belanda, dan sengketa tunduk pada yurisdiksi yang disepakati dalam perjanjian utama. Dalam hal terjadi pertentangan antara DPA ini dan perjanjian utama mengenai hal-hal pelindungan data, DPA ini yang berlaku.

Pokok perjanjian dan durasi: penyediaan layanan yang disepakati selama jangka waktu perjanjian. Sifat dan tujuan: hosting, penyimpanan, pemrosesan, analisis, dukungan, dan pengoperasian Nashua 360 Enterprise Platform serta layanan terkait, sebagaimana diinstruksikan oleh Pengendali. Kategori subjek data: sebagaimana ditentukan oleh Pengendali, yang dapat mencakup karyawan, pelanggan, pemasok, dan kontak Pengendali. Jenis Data Pribadi: sebagaimana ditentukan oleh Pengendali melalui penggunaan layanan, yang dapat mencakup data identitas, kontak, kontraktual, keuangan, ketenagakerjaan, dan transaksional. Pengendali tidak menginstruksikan pemrosesan kategori khusus Data Pribadi kecuali disepakati secara tegas dan dilindungi oleh langkah tambahan yang layak.

Pemroses memelihara langkah-langkah yang sesuai dengan risiko, termasuk: sistem manajemen keamanan informasi yang selaras dengan ISO/IEC 27001 dan SOC 2 Trust Services Criteria; kontrol akses berbasis peran dan hak istimewa minimum dengan autentikasi multifaktor; enkripsi Data Pribadi saat transit maupun saat tersimpan; segmentasi jaringan dan kontrol perimeter; pencatatan log, pemantauan, dan peringatan terpusat; pengembangan perangkat lunak yang aman, tinjauan kode, dan manajemen perubahan; manajemen kerentanan dan pengujian penetrasi; cadangan dan pemulihan bencana yang teruji selaras dengan sasaran pemulihan yang disepakati; manajemen risiko pemasok dan subpemroses; kelangsungan bisnis dan ketahanan operasional sejalan dengan DORA; penyaringan personel, kewajiban kerahasiaan, dan pelatihan kesadaran keamanan; serta proses manajemen insiden dan pemberitahuan pelanggaran yang terdokumentasi. Langkah-langkah terkini dan terperinci tersedia bagi Pengendali atas permintaan.

Pemroses melibatkan sejumlah terbatas subpemroses untuk menyediakan layanan, terutama untuk hosting dan infrastruktur di dalam wilayah Belanda dan EEA, serta untuk perkakas komunikasi dan dukungan. Daftar subpemroses terkini, beserta peran dan lokasinya, tersedia bagi Pengendali atas permintaan, dan Pemroses memberitahukan kepada Pengendali mengenai penambahan atau penggantian yang direncanakan sesuai dengan klausul 5.