3.1. Nurodymai. Teikėjas tvarko asmens duomenis tik pagal Kliento dokumentais įformintus nurodymus, įskaitant nurodymus dėl perdavimo į trečiąją valstybę, išskyrus atvejus, kai tai daryti reikalaujama pagal Europos Sąjungos ar valstybės narės teisę; tokiu atveju Teikėjas prieš pradėdamas tvarkyti duomenis praneša apie tokį reikalavimą Klientui, nebent toks pranešimas draudžiamas dėl svarbių viešojo intereso priežasčių.
3.2. Pranešimas apie neteisėtą nurodymą. Jeigu, Teikėjo nuomone, Kliento nurodymas pažeidžia BDAR ar kitas duomenų apsaugos nuostatas, Teikėjas nedelsdamas apie tai informuoja Klientą ir turi teisę sustabdyti nurodymo vykdymą, kol klausimas išsprendžiamas.
3.3. Konfidencialumas. Teikėjas užtikrina, kad asmens duomenis tvarkyti įgalioti asmenys būtų raštu įsipareigoję užtikrinti konfidencialumą ir kad ši prievolė galiotų ir pasibaigus jų darbo ar kitiems santykiams.
3.4. Saugumas. Teikėjas įgyvendina technines ir organizacines priemones pagal BDAR 32 straipsnį; jos aprašytos III priede.
3.5. Subtvarkytojai. Klientas duoda Teikėjui bendrą rašytinį leidimą pasitelkti subtvarkytojus. Patvirtintų subtvarkytojų sąrašas pateiktas II priede. Apie planuojamą naujo subtvarkytojo pasitelkimą ar pakeitimą Teikėjas informuoja Klientą ne vėliau kaip prieš 30 kalendorinių dienų; per šį terminą Klientas turi teisę motyvuotai nesutikti. Nesutikus, Šalys sąžiningai ieško sprendimo; jo neradus, Klientas turi teisę nutraukti paslaugų teikimą dėl atitinkamos paslaugos be netesybų.
3.6. Subtvarkytojų prievolės. Teikėjas sutartimi nustato subtvarkytojui tas pačias duomenų apsaugos prievoles, kokios nustatytos šioje sutartyje, ir išlieka visiškai atsakingas Klientui už subtvarkytojo prievolių vykdymą.
3.7. Pagalba dėl duomenų subjektų teisių. Atsižvelgdamas į duomenų tvarkymo pobūdį, Teikėjas tinkamomis techninėmis ir organizacinėmis priemonėmis, kiek tai įmanoma, padeda Klientui įvykdyti prievolę atsakyti į prašymus pasinaudoti BDAR III skyriuje nustatytomis teisėmis. Gavęs duomenų subjekto prašymą tiesiogiai, Teikėjas jo savarankiškai nevykdo, o per 3 darbo dienas persiunčia Klientui.
3.8. Pagalba dėl 32–36 straipsnių. Teikėjas padeda Klientui užtikrinti BDAR 32–36 straipsniuose nustatytų prievolių laikymąsi, atsižvelgdamas į duomenų tvarkymo pobūdį ir savo turimą informaciją.
3.9. Saugumo pažeidimai. Sužinojęs apie asmens duomenų saugumo pažeidimą, Teikėjas nepagrįstai nedelsdamas, bet ne vėliau kaip per 24 valandas, praneša apie tai Klientui ir pateikia turimą informaciją: pažeidimo pobūdį, apytikslį duomenų subjektų ir įrašų skaičių, tikėtinas pasekmes ir taikytas ar siūlomas priemones. Terminas nustatytas trumpesnis nei BDAR 33 straipsnio 1 dalyje Klientui nustatytos 72 valandos, kad Klientas spėtų laiku pranešti priežiūros institucijai.
3.10. Duomenų likimas pasibaigus paslaugoms. Užbaigus teikti paslaugas Teikėjas Kliento pasirinkimu ištrina arba grąžina Klientui visus asmens duomenis ir ištrina esamas jų kopijas, išskyrus atvejus, kai saugoti reikalaujama pagal Europos Sąjungos ar valstybės narės teisę. Klientas pasirinkimą nurodo per 30 kalendorinių dienų nuo paslaugų pabaigos; jo nenurodžius, duomenys ištrinami. Teikėjas Kliento prašymu raštu patvirtina ištrynimo faktą.
3.11. Informacija ir auditas. Teikėjas pateikia Klientui visą informaciją, būtiną įrodyti, kad vykdomos BDAR 28 straipsnyje nustatytos prievolės, ir sudaro sąlygas bei padeda Klientui arba jo įgaliotam auditoriui atlikti auditą, įskaitant patikrinimus. Auditas atliekamas ne dažniau kaip kartą per kalendorinius metus (išskyrus atvejus, kai jį atlikti nurodo priežiūros institucija arba įvyko saugumo pažeidimas), apie jį pranešus ne vėliau kaip prieš 14 kalendorinių dienų ir Klientui padengus pagrįstas Teikėjo išlaidas.
