Ugovor o obradi podataka (DPA)

Predmet, trajanje i prvenstvo

Izvršitelj obrađuje osobne podatke radi pružanja ugovorenih funkcija Znalca tijekom trajanja glavnog ugovora i razdoblja potrebnog za povrat ili brisanje podataka. Ako je ovaj DPA u sukobu s glavnim ugovorom u vezi s obradom osobnih podataka po uputi Voditelja, ovaj DPA ima prednost.

Dokumentirane upute i zakonitost

Izvršitelj obrađuje podatke samo prema glavnom ugovoru, postavkama i dokumentiranim uputama Voditelja, uključujući upute o prijenosima. Ako zakon zahtijeva drukčiju obradu, Izvršitelj će o tome obavijestiti Voditelja prije obrade, osim ako je obavijest zabranjena.

Voditelj potvrđuje da ima valjanu svrhu i pravnu osnovu, da je ispitanicima pružio potrebne informacije i da njegove upute ne krše propise ili prava trećih. Izvršitelj će upozoriti Voditelja ako smatra da uputa krši primjenjivo pravo zaštite podataka i može obustaviti takvu uputu do razjašnjenja.

Povjerljivost i osobe ovlaštene za obradu

Pristup imaju samo osobe kojima je potreban za posao i koje su obvezane povjerljivošću. Izvršitelj održava pravila najmanjih ovlasti, redovito preispituje pristup i opoziva ga kada prestane potreba.

Sigurnost obrade

Uzimajući u obzir rizik, stanje tehnike, trošak i prirodu obrade, Izvršitelj provodi najmanje:

• TLS za mrežni prijenos i ograničavanje javno izloženih servisa;
• pozivni pristup, višefaktorsku zaštitu administratorskih ovlasti kada je aktivirana i uloge po načelu najmanjih ovlasti;
• logičko odvajanje korisnika i provjere autorizacije na API i podatkovnom sloju;
• privatne mreže za baze i cache, upravljanje tajnama izvan javnog koda i reviziju sigurnosnih upozorenja;
• audit administrativnih i ključnih korisničkih radnji te praćenje dostupnosti sustava;
• ograničene sigurnosne kopije, provjeru njihove cjelovitosti i test oporavka;
• upravljanje ranjivostima, ažuriranja, testove razmjerne promjeni i postupak za incidente;
• minimizaciju podataka, ograničenje rokova i sigurno brisanje kada istekne svrha.

Na zahtjev će Izvršitelj dostaviti aktualniji opis tehničkih i organizacijskih mjera, uz zaštitu povjerljivih sigurnosnih detalja.

Podizvršitelji

Voditelj daje opće odobrenje za podizvršitelje navedene na stranici Podizvršitelji. Izvršitelj će najaviti dodavanje ili zamjenu najmanje 30 dana unaprijed, osim hitne promjene potrebne radi sigurnosti ili zakona. Voditelj može u tom roku uložiti obrazložen prigovor.

Izvršitelj svakom podizvršitelju ugovorom nameće obveze zaštite podataka koje su u bitnome jednake relevantnim obvezama iz ovog DPA-a i ostaje odgovoran za njegov rad u opsegu koji propisuje GDPR.

Prijenosi u treće zemlje

Ako obrada uključuje prijenos izvan EGP-a u zemlju bez odluke o primjerenosti, Izvršitelj osigurava valjan mehanizam iz poglavlja V. GDPR-a, u pravilu standardne ugovorne klauzule Europske komisije, procjenjuje prijenos kada je potrebno i primjenjuje dodatne mjere razmjerne riziku.

Zahtjevi ispitanika

Ako Izvršitelj primi zahtjev koji se odnosi na obradu po uputi Voditelja, bez nepotrebnog odgađanja proslijedit će ga Voditelju, osim ako zakon nalaže drukčije. Uzimajući u obzir prirodu obrade, Izvršitelj će razumnim tehničkim i organizacijskim mjerama pomoći Voditelju pri pretraživanju, izvozu, ispravku, ograničenju i brisanju podataka.

Povreda osobnih podataka

Nakon što potvrdi povredu osobnih podataka pod svojom kontrolom, Izvršitelj će obavijestiti Voditelja bez nepotrebnog odgađanja i nastojati prvu obavijest poslati unutar 48 sati. Obavijest će, koliko je tada poznato, opisati prirodu događaja, kategorije podataka i ispitanika, vjerojatne posljedice, poduzete mjere i kontakt za daljnje informacije.

Početna obavijest može biti nepotpuna i nadopunjavati se kako istraga napreduje. Sama obavijest nije priznanje krivnje ili pravne odgovornosti.

Procjena učinka, savjetovanje i nadzorno tijelo

Izvršitelj će pružiti razumnu pomoć informacijama potrebnim za procjenu učinka i prethodno savjetovanje, uzimajući u obzir dostupne informacije i prirodu usluge. Svaka strana surađuje s nadzornim tijelom u okviru svojih obveza.

Dokazi, revizija i pitanja usklađenosti

Izvršitelj će na zahtjev dati informacije razumno potrebne za dokazivanje obveza iz članka 28. GDPR-a. Voditelj može najviše jednom godišnje, ili dodatno nakon ozbiljnog incidenta, provesti razmjernu reviziju uz prethodnu najavu, obvezu povjerljivosti i bez ometanja rada ili ugrožavanja drugih korisnika. Prednost imaju neovisni izvještaji i dokumentacijska provjera; pregled sustava na lokaciji provodi se samo kada oni nisu dovoljni.

Povrat i brisanje

Po prestanku usluge Voditelj može tijekom 30 dana zatražiti izvoz podataka koje je dostavio ili stvorio u svojim predmetima. Nakon tog roka Izvršitelj će ih izbrisati ili anonimizirati, osim podataka koje mora čuvati po zakonu ili radi pravnog zahtjeva. Preostale kopije brišu se istekom ciklusa, u pravilu u roku od 30 dodatnih dana. Ako izrada novije izdvojene kopije zakaže, posljednja valjana kopija može ostati strogo izolirana do uspješne zamjene i ne koristi se za pojedinačno vraćanje izbrisanih podataka.

Odgovornost i završne odredbe

Odgovornost stranaka uređena je glavnim ugovorom i obveznim pravilima GDPR-a. Prestanak glavnog ugovora ne utječe na obveze koje po svojoj naravi traju, uključujući povjerljivost, brisanje, dokazivanje i odgovornost.

Prilog 1 — Pojedinosti obrade

Prilog 2 — Upute Voditelja

Standardne upute sadržane su u glavnom ugovoru, ovom DPA-u, postavkama računa i radnjama ovlaštenih korisnika u aplikaciji. Dodatna uputa mora biti pisana, dovoljno određena, zakonita i tehnički izvediva. Izvršitelj može naplatiti neuobičajenu dodatnu pomoć prema prethodno prihvaćenoj ponudi.

Prihvat DPA-a

Ovaj DPA postaje sastavni dio glavnog ugovora kada ga poslovni korisnik prihvati u narudžbenici, elektronički označi prihvat ili ga obje strane potpišu. Za potpisani primjerak obratite se na mislav.sagovac@contentio.biz.