Articolul 15
Externalizarea în lanț a funcțiilor și activităților operaționale critice sau semnificative
Art. 15 din NORMĂ nr. 33 din 12 august 2020 privind externalizarea către furnizorii de servicii de tip cloud
În situația în care externalizarea în lanț a funcțiilor operaționale critice sau semnificative, inclusiv a unei părți din acestea, este permisă, acordul de externalizare în cloud dintre societate și furnizorul de servicii de tip cloud stipulează cel puțin următoarele:
a) tipurile de activități care sunt excluse de la potențiala externalizare în lanț;
b) condițiile care ar trebui respectate în cazul subcontractării în lanț, cum ar fi, dar fără a ne limita la acestea, respectarea pe deplin a subcontractantului a obligațiilor relevante ce revin furnizorului de servicii de tip cloud; aceste obligații includ drepturile de audit și de acces și securitatea datelor și a sistemelor;
c) faptul că furnizorul de servicii de tip cloud păstrează responsabilitatea deplină și asigură un control complet asupra serviciilor externalizate în lanț;
d) obligația furnizorului de servicii de tip cloud de a informa societatea despre modificările semnificative planificate la nivel de subcontractanți sau de servicii externalizate în lanț care ar putea afecta capacitatea furnizorului de servicii de a-și îndeplini obligațiile asumate prin acordul de externalizare în cloud; perioada de notificare a acestor modificări permite societății, cel puțin, să efectueze o evaluare a riscurilor în ceea ce privește efectele modificărilor propuse înainte ca modificarea efectivă a subcontractanților și a serviciilor subcontractate să intre în vigoare;
e) dreptul de a se opune modificărilor și/sau dreptul de a rezilia sau denunța contractul în cazul în care un furnizor de servicii de tip cloud intenționează să schimbe subcontractantul sau serviciile externalizate subcontractate, dacă acestea ar avea un potențial efect negativ asupra evaluării riscurilor serviciilor convenite.