Articolul 12
Cerințe contractuale
Art. 12 din NORMĂ nr. 33 din 12 august 2020 privind externalizarea către furnizorii de servicii de tip cloud
(1) Drepturile și obligațiile ce le revin societății și furnizorului de servicii de tip cloud sunt stabilite prin acord scris.
(2) Fără a aduce atingere art. 274 din Regulamentul delegat nr. 35/2015, în cazul externalizării unor funcții sau activități operaționale critice sau semnificative către un furnizor de servicii de tip cloud, acordul scris dintre societate și furnizorul de servicii cloud cuprinde cel puțin următoarele:
a) o descriere clară a funcției externalizate care urmează să fie furnizată și tipul serviciilor de asistență;
b) data de începere și data de încetare a acordului, după caz;
c) perioadele de preaviz pentru furnizorul de servicii de tip cloud și pentru societate;
d) jurisdicția instanței și legea aplicabilă acordului;
e) obligațiile financiare ale celor două părți;
f) dacă este permisă externalizarea în lanț a unei funcții sau activități operaționale critice sau semnificative sau a unor părți semnificative din aceasta, inclusiv condițiile la care este supusă externalizarea în lanț semnificativă și cele ale art. 15 ;
g) locația sau locațiile centrelor de date, cu precizarea regiunii, a statului sau a statelor unde sunt stocate și prelucrate date relevante, inclusiv:
(i) condițiile care trebuie îndeplinite;
(ii) cerința de a notifica societatea în cazul în care furnizorul de servicii propune schimbarea locației sau a locațiilor;
h) prevederile specificate la art. 14 , precum și următoarele informații:
(i) accesibilitate;
(ii) disponibilitate;
(iii) integritate;
(iv) confidențialitate;
(v) caracterul privat și siguranța datelor relevante;
i) dreptul societății de a monitoriza în mod regulat activitatea furnizorului de servicii de tip cloud, nivelurile convenite de calitate a serviciilor, cu includerea a cel puțin următoarelor:
(i) obiective de performanță cantitative și calitative clare;
(ii) măsuri corective adecvate în situația în care nu sunt respectate nivelurile convenite de calitate a serviciilor, fără întârzieri nejustificate;
j) obligațiile de raportare ale furnizorului de servicii de tip cloud către societate, inclusiv, dacă este cazul, obligațiile de transmitere a rapoartelor relevante pentru funcția de securitate și funcțiile-cheie ale societății, cum ar fi rapoarte de audit intern a furnizorului de servicii de tip cloud;
k) posibilitatea de a impune furnizorului de servicii de tip cloud de a încheia o asigurare obligatorie împotriva anumitor riscuri, cu precizarea, după caz, a sumei asigurate;
l) planul de continuare a activității, prin intermediul unui plan de urgență pentru administrarea situației de criză și testarea acestuia;
m) acordarea accesului societății, A.S.F. și altor persoane desemnate de acestea, de către furnizorul de servicii de tip cloud, la:
(i) toate sediile operaționale relevante, cum ar fi sedii centrale și centre operaționale;
(ii) întreaga gamă de dispozitive, sisteme, rețele, informații și date relevante utilizate pentru furnizarea funcției externalizate;
(iii) informații de natură financiară, despre personal și despre auditorii externi ai furnizorului de servicii de tip cloud;
(iv) drepturi nelimitate de control și de audit legate de acordul de externalizare, denumite drepturi de audit, pentru a se permite monitorizarea acordului de externalizare și pentru a asigura respectarea tuturor cerințelor contractuale și de reglementare aplicabile;
n) clauze prin care se garantează faptul că datele care aparțin societății pot fi recuperate rapid de aceasta în cazul insolvenței, al rezoluției sau al întreruperii operațiunilor realizate de furnizorul de servicii de tip cloud.