Ugovor o obradi podataka

01Status i uvjeti primjene

Ovaj dokument je nacrt dodatka ugovoru za situaciju u kojoj identificirani pružatelj Fakturive stvarno obrađuje osobne podatke u ime poslovnog korisnika. Ne smatra se sklopljenim samim posjetom stranici. Stranke, glavna usluga, datum prihvata i opseg obrade moraju biti identificirani prije početka takve obrade.

Ako aplikacija podatke obrađuje isključivo na korisnikovu Android uređaju bez pristupa pružatelja, distribucija aplikacije sama po sebi ne stvara odnos voditelja i izvršitelja za cijelu lokalnu bazu. Dodatak se primjenjuje samo na ugovorenu povezanu uslugu u kojoj izvršitelj podatke prima ili im može pristupiti.

02Stranke, predmet i trajanje

Korisnik određuje svrhe i sredstva obrade svojega poslovnog sadržaja te nastupa kao voditelj obrade. Pružatelj nastupa kao izvršitelj samo u granicama dokumentiranih uputa i stvarne usluge. Obrade koje pružatelj provodi za vlastite svrhe moraju imati zasebnu osnovu i transparentnu obavijest.

Prilog prije aktivacije mora opisati predmet, prirodu, svrhu i trajanje obrade. Moguće radnje poput primitka šifrirane kopije, pohrane, oporavka, pristupa tijekom podrške i brisanja ne uključuju se automatski; potrebno je potvrditi koje se od njih stvarno provode. Trajanje slijedi potvrđenu uslugu i ugovoreni postupak povrata ili brisanja.

03Ispitanici i kategorije podataka

Opseg može obuhvaćati podatke poslovnih kontakata, obrtnika, fizičkih osoba kao klijenata, osoba ovlaštenih za zastupanje i drugih osoba navedenih u dokumentima. Kategorije mogu uključivati identifikacijske i kontaktne podatke, OIB, adrese i podatke o poslovnim dokumentima i uplatama.

Posebne kategorije podataka i podaci o kaznenim osudama nisu unaprijed ugovoreni predmet obrade. Ako stvarna potreba zahtijeva takve podatke, prije uključivanja mora se provesti procjena i ugovoriti odgovarajući opseg i dodatne mjere. Voditelj ograničava unos na nužno i osigurava obavještavanje ispitanika.

04Dokumentirane upute i zakonitost

Izvršitelj smije obrađivati podatke samo prema dokumentiranim uputama voditelja, uključujući prijenose, osim kada je drukčija obrada obvezna prema pravu Unije ili države članice. U tom slučaju obavještava voditelja prije obrade, osim ako zakon takvu obavijest zabranjuje iz važnih razloga javnog interesa.

Voditelj osigurava pravnu osnovu, točnost, razmjernost i zakonitost uputa. Ako izvršitelj smatra da uputa krši propise o zaštiti podataka, mora o tome odmah obavijestiti voditelja. Podaci se ne smiju koristiti za nepovezani marketing, prodaju ili razvoj novih svrha bez odgovarajuće osnove i uređenja uloga.

05Povjerljivost i pristup

Pristup se ograničava na osobe kojima je potreban za ugovorenu uslugu. Ovlaštene osobe moraju biti obvezane na povjerljivost ugovorom ili odgovarajućom zakonskom obvezom. Ovlaštenja se preispituju pri promjeni uloge ili prestanku angažmana.

Pristup korisničkoj kopiji tijekom podrške nije automatsko opće ovlaštenje. Potrebno je unaprijed definirati radnju, podatke i nužno trajanje. Kad god je moguće, podrška se pruža na redigiranim primjerima bez stvarnih podataka klijenata.

06Tehničke i organizacijske mjere

Stranke ugovaraju mjere primjerene riziku prema članku 32. GDPR-a, uzimajući u obzir stanje tehnike, trošak, prirodu, opseg, kontekst i svrhu obrade. Prilog mjera mora opisati stvarnu kontrolu pristupa, prijenos, pohranu, upravljanje ključevima, evidencije, oporavak, testiranje i postupanje s incidentima.

Poznato šifriranje podržanih kopija AES-256-GCM i lokalni PIN ne potvrđuju sve mjere udaljenog servisa. Mora se posebno utvrditi gdje su ključevi, tko ih može koristiti i kako se provodi oporavak. Ne ugovara se neprovjereno šifriranje svake baze u mirovanju ili zajamčeni smještaj isključivo u EU.

07Podizvršitelji

Angažiranje podizvršitelja zahtijeva prethodno posebno ili opće pisano odobrenje voditelja prema članku 28. GDPR-a. Kod općeg odobrenja izvršitelj mora pravodobno informirati o planiranoj promjeni i omogućiti prigovor prema ugovorenom postupku, prije relevantne obrade.

Stvarni popis mora sadržavati naziv, ulogu, lokaciju obrade i potrebne informacije o prijenosima. Ugovor s podizvršiteljem mora osigurati obveze zaštite podataka usporedive s ovim dodatkom. Ovim nacrtom nije odobren nepoznati popis pružatelja niti se tvrdi da su svi u EU.

08Prijenosi u treće zemlje

Prijenos se provodi samo na temelju dokumentirane upute i valjanog mehanizma iz poglavlja V. GDPR-a. Prije početka potrebno je procijeniti okolnosti prijenosa, odrediti primjenjive zaštitne mjere i osigurati dostupnost relevantnih informacija voditelju.

Zahtjev tijela treće zemlje ne smije se tretirati kao automatsko dopuštenje za otkrivanje. Izvršitelj u dopuštenom opsegu obavještava voditelja, procjenjuje zahtjev i primjenjuje potrebne zaštitne mjere. Konkretne zemlje i ugovorne klauzule upisuju se u potvrđeni prilog.

09Pomoć pri pravima ispitanika

Izvršitelj, uzimajući u obzir prirodu obrade i dostupne informacije, pomaže voditelju odgovarajućim tehničkim i organizacijskim mjerama pri zahtjevima ispitanika. Zahtjev zaprimljen izravno od ispitanika prosljeđuje voditelju, osim ako postoji druga zakonska obveza ili ovlaštenje.

Voditelj odlučuje o zahtjevu i zakonskim iznimkama. Pomoć ne smije rezultirati otkrivanjem tuđih podataka ili brisanjem poslovne isprave koju zakon nalaže čuvati. Troškove eventualne dodatne pomoći potrebno je transparentno urediti, bez onemogućavanja izvršenja zakonskih obveza.

10Povreda osobnih podataka

Izvršitelj o povredi koja zahvaća ugovorenu obradu obavještava voditelja bez nepotrebnog odgađanja nakon saznanja, kako propisuje članak 33. stavak 2. GDPR-a. Ne koristi se proizvoljni rok od četrdeset osam sati kao zamjena za tu obvezu.

Obavijest, prema dostupnosti informacija, opisuje prirodu incidenta, kategorije i približan broj ispitanika i zapisa, moguće posljedice, kontakt i poduzete ili planirane mjere. Nepotpune informacije dopunjuju se bez nepotrebnog odgađanja; nedostatak svih detalja ne opravdava odgađanje prve obavijesti.

Voditelj procjenjuje obvezu prijave nadzornom tijelu, po mogućnosti u roku od 72 sata od saznanja kada su ispunjeni zakonski uvjeti, te obavještavanja ispitanika pri visokom riziku. Izvršitelj pomaže, ali ne preuzima sve odluke voditelja samom ovom odredbom.

11Procjene, revizije i dokazivanje

Izvršitelj pomaže voditelju pri sigurnosti, procjeni učinka i prethodnom savjetovanju u opsegu propisanom GDPR-om, uzimajući u obzir prirodu obrade i informacije kojima raspolaže. Potreba za procjenom učinka određuje se prema riziku, a ne pretpostavlja da je svaka uporaba aplikacije visokorizična.

Izvršitelj stavlja na raspolaganje informacije potrebne za dokazivanje obveza i omogućuje revizije, uključujući inspekcije voditelja ili njegova ovlaštenog revizora. Način najave, zaštita tuđih podataka i sigurnosna pravila mogu se razumno urediti, ali ne smiju ukloniti zakonsko pravo na provjeru.

12Povrat, brisanje i prestanak

Po završetku usluge izvršitelj, prema izboru voditelja, briše ili vraća osobne podatke i briše postojeće kopije, osim ako pravo Unije ili države članice nalaže čuvanje. Format povrata, siguran prijenos, postupanje s kopijama i potvrda izvršenja moraju biti konkretno ugovoreni.

Ne potvrđuje se jedinstven rok od trideset dana bez provjere stvarne infrastrukture. Ako rezervne kopije nije moguće selektivno izmijeniti, treba opisati ciklus njihove zamjene, ograničenje uporabe i konačno brisanje. Lokalni podaci koje pružatelj ne prima ostaju u odgovornosti korisnika, uključujući izvoz i arhiviranje.

13Obvezni prilozi i završne odredbe

Prije primjene potrebno je potvrditi priloge koji individualiziraju ugovor. Nepopunjeni nacrt nije dovoljan dokaz ispunjenja članka 28. GDPR-a. U slučaju proturječja, odredbe o zaštiti podataka tumače se u skladu s obveznim pravilima i stvarnim opsegom obrade.

• Identitet stranaka, glavni ugovor i datum prihvata.
• Predmet, priroda, svrha, trajanje, ispitanici i vrste podataka.
• Stvarne tehničke mjere, upravljanje ključevima i kontakti za incidente.
• Odobreni podizvršitelji, lokacije i mehanizmi prijenosa.
• Postupak prava ispitanika, revizije, povrat i brisanje podataka.