Чл. 24. (I) Всички външни изпълнители и техни подизпълнители, които обработват лични данни от името на администратора, са обработващи лични данни по смисъла на ОРЗД;
(2) „ИНОВАТИВНИ ФИНАНСИ“ ООД избира само външни изпълнители, които могат да осигурят техническа, физическа и организационна сигурност и които отговарят на поставените изисквания по отношение на всички лични данни, които ще обработват. При прекратяването на договор с изпълнител/подизпълнител съответните лични данни следва да бъдат унищожени или върнати на „ИНОВАТИВНИ ФИНАНСИ“ ООД;
(3) Когато „ИНОВАТИВНИ ФИНАНСИ“ ООД разреши на външния изпълнител да възложи обработката на лични данни на подизпълнител, външният изпълнител трябва да забрани на подизпълнителя (и следващите подизпълнители, ако има такива) да възлага дейността по обработка на данни на подизпълнители без писменото разрешение на „ИНОВАТИВНИ ФИНАНСИ“ ООД;
(4) „ИНОВАТИВНИ ФИНАНСИ“ ООД има право да извършва редовни проверки на системите за сигурност на външния изпълнител през периода, в който той има достъп до личните данни;
(5) Звеното в „ИНОВАТИВНИ ФИНАНСИ“ ООД, което осъществява текущ контрол и приема резултатите от изпълнението на договори, редовно извършва преглед на съответния договор, за да провери дали се обработват лични данни. Тези проверки се извършват, дори ако дейността по обработка на лични данни не е основната причина за сключване на договора.
Чл. 25. Изпълнители от страни извън ЕС могат да бъдат избрани само при положение, че е изпълнено поне едно от следните специфични условия:
- Ако изпълнителят или държавата, в която пребивава или е установен, или са били идентифицирани като осигуряващи адекватно ниво на защита на личните данни в решение за адекватност от страна на Европейската комисия;
- Ако са налични задължителни фирмени правила за предаване на данни извън ЕС, за да се гарантират правата на субектите, и тези правила са одобрени от Комисията за защита на личните данни;
- Когато споразумението с изпълнителя е одобрено от надзорния орган.