UGOVOR O OBRADI OSOBNIH PODATAKA

Ovaj Ugovor o obradi osobnih podataka sklapa se između korisnika aplikacije Paško kao voditelja obrade i CONTE, obrt za usluge, vl. Toni Pavlović kao izvršitelja obrade, za obradu osobnih podataka koju izvršitelj provodi u ime voditelja obrade u vezi s korištenjem aplikacije. Ovaj Ugovor čini dodatak Uvjetima korištenja, narudžbenici, pretplati ili drugom ugovornom odnosu između stranaka. U slučaju nesklada između ovog Ugovora i općih Uvjeta korištenja u pogledu obrade osobnih podataka u ime korisnika, prednost ima ovaj Ugovor.

Pojmovi voditelj obrade, izvršitelj obrade, ispitanik, osobni podaci, obrada, povreda osobnih podataka, podizvršitelj obrade i drugi pojmovi imaju značenje određeno Općom uredbom o zaštiti podataka.

Izvršitelj obrađuje osobne podatke u ime voditelja obrade isključivo radi omogućavanja korištenja aplikacije, uključujući izradu ponuda, izdavanje računa, arhiviranje dokumenata, upravljanje poslovnim podacima, tehničku podršku, održavanje, sigurnosno kopiranje i druge funkcionalnosti koje korisnik koristi u aplikaciji. Obrada traje za vrijeme trajanja korisničkog odnosa, odnosno dok korisnik koristi aplikaciju, te nakon toga u mjeri potrebnoj za izvoz, povrat, brisanje, arhiviranje, sigurnosne kopije, dokazivanje i ispunjenje zakonskih ili ugovornih obveza.

korisnici, zaposlenici, suradnici i ovlaštene osobe voditelja obrade; kupci i klijenti voditelja obrade; dobavljači, poslovni partneri i njihove kontakt osobe; zaposlenici, radnici, vanjski suradnici i druge osobe povezane s poslovanjem voditelja obrade; druge osobe čije podatke voditelj obrade unese u aplikaciju.

Kategorija Primjeri Identifikacijski podaci ime i prezime, naziv obrta ili poslovnog subjekta fizičke osobe, OIB ako je potreban, identifikacijske oznake kupca ili dobavljača Kontakt podaci adresa, e-mail, telefon, poslovna funkcija, kontakt osoba Poslovni i transakcijski podaci računi, ponude, stavke računa, iznosi, datumi, opisi usluga i proizvoda, status plaćanja, poslovne evidencije Korisnički i pristupni podaci korisničko ime, uloge, ovlasti, aktivnosti u aplikaciji, zapis promjena i logovi pristupa Drugi podaci koje korisnik unese podaci iz priloga, napomena, dokumenata i evidencija koje korisnik samostalno unosi u aplikaciju

Voditelj obrade ne smije unositi posebne kategorije osobnih podataka, podatke o kaznenim djelima, zdravstvene podatke, biometrijske podatke, podatke djece ili druge posebno osjetljive podatke, osim ako je takva obrada nužna, zakonita i ako je voditelj osigurao sve propisane pravne osnove, informacije, sigurnosne mjere i dokumentaciju. Izvršitelj nije dužan provjeravati zakonitost takvog unosa i oslanja se na upute voditelja obrade.

osigurati zakonitu pravnu osnovu za svaku obradu osobnih podataka koje unosi u aplikaciju; ispitanicima pružiti sve potrebne informacije o obradi; unositi samo točne, nužne i primjerene podatke; odrediti i upravljati rokovima čuvanja podataka u skladu s vlastitim obvezama; postupati po zahtjevima ispitanika, osim u dijelu u kojem mu izvršitelj pruža pomoć; davati izvršitelju dokumentirane, zakonite i razumljive upute; osigurati da ovlaštene osobe voditelja koriste aplikaciju zakonito i u okviru dodijeljenih ovlasti; ne koristiti aplikaciju za nezakonitu, prijevarnu, diskriminatornu ili drugu nedopuštenu obradu.

obrađivati osobne podatke isključivo prema dokumentiranim uputama voditelja obrade, uključujući ove ugovorne odredbe i postavke koje voditelj odabere u aplikaciji; osigurati da su osobe ovlaštene za obradu osobnih podataka obvezane na povjerljivost; primjenjivati odgovarajuće tehničke i organizacijske mjere zaštite; pomagati voditelju obrade, u razumnoj i tehnički mogućoj mjeri, u ispunjenju obveza prema ispitanicima; pomagati voditelju obrade u vezi sa sigurnošću obrade, prijavom povreda, procjenama učinka i prethodnim savjetovanjem, u mjeri u kojoj je to primjenjivo i razumno moguće; nakon prestanka pružanja usluge, prema izboru voditelja i u skladu s tehničkim mogućnostima, omogućiti povrat, izvoz ili brisanje osobnih podataka, osim ako pravo Unije ili Republike Hrvatske zahtijeva čuvanje podataka; voditelju staviti na raspolaganje informacije potrebne za dokazivanje usklađenosti s ovim Ugovorom, u razumnom opsegu i uz zaštitu poslovnih tajni, sigurnosti sustava i prava drugih korisnika.

Voditelj daje upute izvršitelju putem ovog Ugovora, Uvjeta korištenja, postavki aplikacije, zahtjeva podršci i drugih pisanih ili elektroničkih uputa. Izvršitelj nije dužan postupiti po uputi koja je očito nezakonita, tehnički neprovediva, protivna sigurnosti sustava, pravima drugih korisnika ili ugovorenoj svrsi obrade. Ako izvršitelj smatra da neka uputa krši propise o zaštiti osobnih podataka, o tome će obavijestiti voditelja, osim ako je takva obavijest zabranjena zakonom.

Mjera Opis Kontrola pristupa pristup podacima ograničen je ovlaštenim osobama prema poslovnoj potrebi i dodijeljenim ovlastima Autentifikacija korisnički računi zaštićeni su pristupnim podacima i, kada je dostupno, dodatnim sigurnosnim mehanizmima Povjerljivost osobe koje obrađuju podatke obvezane su na povjerljivost Sigurnosne kopije primjenjuju se razumne backup procedure radi dostupnosti i oporavka podataka Logiranje i nadzor vode se odgovarajući tehnički zapisi radi sigurnosti, otklanjanja pogrešaka i sprječavanja zlouporaba Ograničenje pristupa produkcijskim podacima pristup produkcijskim podacima ograničava se prema potrebi održavanja, podrške i sigurnosti Upravljanje incidentima primjenjuje se postupak za evidentiranje, procjenu i obradu sigurnosnih incidenata Konkretne mjere uključuju hosting na Railway platformi, PostgreSQL bazu podataka, JWT autentifikaciju, TLS enkripciju u prijenosu, ograničenje pristupa produkcijskim sustavima, sigurnosne kopije baze podataka i evidenciju sigurnosnih događaja.

Voditelj daje opće odobrenje izvršitelju za angažiranje podizvršitelja obrade koji su potrebni za pružanje aplikacije, uključujući hosting, cloud infrastrukturu, sigurnosne alate, e-mail dostavu, korisničku podršku, naplatu, analitiku i druge tehničke ili poslovne usluge. Izvršitelj će s podizvršiteljima urediti obveze zaštite osobnih podataka koje su u bitnom jednake ili usporedive s obvezama iz ovog Ugovora. Izvršitelj ostaje odgovoran voditelju za ispunjenje obveza podizvršitelja u mjeri propisanoj GDPR-om.

Izvršitelj će obavijestiti voditelja o bitnim promjenama koje se odnose na dodavanje ili zamjenu podizvršitelja putem aplikacije, e-maila, web stranice ili ažuriranog popisa podizvršitelja. Voditelj može u razumnom roku iznijeti obrazloženi prigovor ako smatra da novi podizvršitelj ne pruža odgovarajuću razinu zaštite. Ako se prigovor ne može razumno riješiti, voditelj može prestati koristiti dio usluge na koji se prigovor odnosi ili raskinuti ugovorni odnos u skladu s Uvjetima korištenja.

Ako se osobni podaci prenose izvan Europskog gospodarskog prostora ili postaju dostupni izvan Europskog gospodarskog prostora, izvršitelj će osigurati odgovarajući mehanizam prijenosa u skladu s GDPR-om, primjerice odluku o primjerenosti, standardne ugovorne klauzule ili drugi dopušteni mehanizam.

Ako se ispitanik obrati izvršitelju u vezi s osobnim podacima koje je voditelj unio u aplikaciju, izvršitelj će, kada može razumno utvrditi voditelja, zahtjev proslijediti voditelju ili uputiti ispitanika da se obrati voditelju. Izvršitelj će voditelju pružiti razumnu pomoć u ostvarivanju prava ispitanika, u mjeri u kojoj je to tehnički moguće i u okviru funkcionalnosti aplikacije.

Izvršitelj će bez nepotrebnog odgađanja obavijestiti voditelja nakon što sazna za povredu osobnih podataka koja se odnosi na podatke obrađene u ime voditelja. Obavijest će, u mjeri u kojoj su informacije dostupne, sadržavati opis prirode povrede, kategorije i približan broj ispitanika i zapisa, vjerojatne posljedice, poduzete ili predložene mjere i kontakt za dodatne informacije. Voditelj je odgovoran za procjenu obveze prijave povrede nadzornom tijelu i obavješćivanja ispitanika, osim ako propisi drukčije određuju.

Izvršitelj će voditelju staviti na raspolaganje informacije razumno potrebne za dokazivanje usklađenosti s ovim Ugovorom. Revizije se provode na način koji ne ugrožava sigurnost aplikacije, povjerljivost podataka drugih korisnika, poslovne tajne, kontinuitet poslovanja i prava trećih osoba. Izvršitelj može umjesto neposredne revizije dostaviti sigurnosne izjave, certifikate, izvješća ili drugu prikladnu dokumentaciju, ako je dostupna.

Nakon prestanka pružanja usluge izvršitelj će, u skladu s tehničkim mogućnostima aplikacije i ugovorenim uvjetima, omogućiti voditelju izvoz ili preuzimanje podataka. Nakon isteka razumnog razdoblja za izvoz, izvršitelj može izbrisati ili anonimizirati podatke, osim ako postoji zakonska obveza ili dopuštena pravna osnova za daljnje čuvanje. Podaci u sigurnosnim kopijama mogu se čuvati do redovitog isteka ciklusa sigurnosnih kopija.

Ako zahtjevi voditelja, revizije, posebni izvozi, prilagođeni sigurnosni zahtjevi, pomoć kod zahtjeva ispitanika ili druge radnje prelaze redovnu funkcionalnost aplikacije i uobičajenu podršku, izvršitelj može naplatiti razumnu naknadu za dodatni rad, osim ako je drukčije ugovoreno ili propisano.

Svaka strana odgovara za svoje povrede propisa o zaštiti osobnih podataka i ovog Ugovora. Voditelj je odgovoran za zakonitost uputa, zakonitost podataka koje unosi, pravne osnove obrade, informiranje ispitanika i vlastite obveze voditelja obrade. Izvršitelj odgovara za obradu protivno ovom Ugovoru ili zakonitim uputama voditelja, u mjeri propisanoj primjenjivim pravom.

Ovaj Ugovor primjenjuje se za vrijeme trajanja korisničkog odnosa i dok izvršitelj obrađuje osobne podatke u ime voditelja. Na ovaj Ugovor primjenjuje se pravo Republike Hrvatske, osim ako prisilni propisi ne određuju drukčije. Prilog 1 - Sažetak obrade