05Ugovor o obradi podataka

1. Ugovorne strane i primjena

Ovaj ugovor sklapa se između klijenta («voditelj obrade») i Martín Silva Molina, koji vodi The Mariscal (Ul. Ivana Rendića 28b, 10000 Zagreb, Hrvatska), «izvršitelj obrade», te ispunjava zahtjeve iz čl. 28. st. 3. Uredbe (EU) 2016/679 (Opća uredba o zaštiti podataka). Primjenjuje se kada izvršitelj obrade, radi pružanja usluga iz Uvjeta usluga (razvoj, smještaj, održavanje, podrška, agenti umjetne inteligencije), obrađuje osobne podatke u ime voditelja obrade. Sastavni je dio ugovora o uslugama od prihvaćanja ponude; ako je potrebno, potpisuje se i zasebno.

Ako ponuda ili potpisani ugovor obradu uređuju drukčije, vrijedi ono što je ondje dogovoreno, u mjeri u kojoj je u skladu s čl. 28. Opće uredbe o zaštiti podataka.

2. Predmet, trajanje, priroda i svrha

Predmet

Usluge projekta opisane u ponudi.

Trajanje

Dok traje ugovor o uslugama i, nakon toga, vrijeme potrebno za vraćanje ili brisanje podataka prema odjeljku «Po završetku».

Priroda

Razvoj, testiranje, uvođenje, smještaj, sigurnosne kopije, podrška i održavanje sustava voditelja obrade; pristup njegovim podacima samo kada je to za to potrebno.

Svrha

Rad, održavanje i poboljšanje sustava voditelja obrade, prema njegovim uputama.

3. Vrste podataka i kategorije ispitanika

Oni koje voditelj obrade odluči obrađivati u svom sustavu i koji su opisani u ponudi. U pravilu:

• Ispitanici: korisnici, klijenti, pretplatnici, zaposlenici ili kontakti voditelja obrade.
• Podaci: identifikacijski i kontaktni podaci (ime, adresa e-pošte, telefon), podaci o korisničkom računu, narudžbe i njihova povijest, poruke i sadržaj koji učitavaju, tehnički podaci (IP adresa, uređaj, zapisi) i ono što korisnici napišu agentu umjetne inteligencije.
• Posebne kategorije osobnih podataka (čl. 9. Opće uredbe o zaštiti podataka) ili podaci maloljetnika: samo ako je to izričito navedeno u ponudi i uz dodatne mjere koje su ondje dogovorene.

4. Obveze voditelja obrade

• Imati pravnu osnovu za svaku obradu i informirati svoje korisnike (vlastitom politikom privatnosti).
• Davati zakonite i dokumentirane upute: ponudom, ovim ugovorom i onim što pisano zatraži tijekom projekta.
• Odlučivati koji se podaci obrađuju, u koju svrhu i koliko dugo se čuvaju.

5. Obveze izvršitelja obrade

1. Obrađivati podatke samo prema dokumentiranim uputama voditelja obrade, uključujući prijenose u treće zemlje, osim ako to od njega zahtijeva pravo (u tom slučaju o tome unaprijed obavještava voditelja obrade, ako to pravo dopušta). Ako smatra da je neka uputa protivna Općoj uredbi o zaštiti podataka, odmah o tome obavještava voditelja obrade.
2. Osigurati da su se osobe ovlaštene za obradu podataka obvezale na povjerljivost ili da podliježu zakonskoj obvezi povjerljivosti.
3. Primjenjivati sigurnosne mjere iz čl. 32. Opće uredbe o zaštiti podataka opisane u odjeljku Sigurnosne mjere.
4. Poštovati pravila o podizvršiteljima obrade iz odjeljka Podizvršitelji obrade.
5. Pomagati voditelju obrade, koliko je to moguće, u odgovaranju na zahtjeve ispitanika (pristup, ispravak, brisanje, prigovor, prenosivost…). Ako se ispitanik obrati izravno izvršitelju obrade, on zahtjev prosljeđuje voditelju obrade i ne odgovara umjesto njega.
6. Pomagati voditelju obrade u ispunjavanju obveza iz čl. 32. do 36. Opće uredbe o zaštiti podataka (sigurnost, povrede, procjene učinka i prethodno savjetovanje), uzimajući u obzir informacije kojima raspolaže.
7. Po završetku, prema izboru voditelja obrade, vratiti ili izbrisati podatke (odjeljak Po završetku).
8. Voditelju obrade staviti na raspolaganje sve informacije potrebne za dokazivanje usklađenosti te omogućiti revizije i doprinositi njima, prema odjeljku Revizije.

6. Sigurnosne mjere

• Šifriranje podataka u prijenosu (HTTPS/TLS) i, kod pružatelja koji to nude, u mirovanju.
• Minimalan pristup: samo osobe koje rade na projektu, s osobnim računima, dvofaktorskom autentifikacijom gdje je to moguće i ograničenim ovlastima; pristup se ukida po završetku.
• Kontrola pristupa u aplikaciji: svaka funkcija koja dira podatke provjerava sesiju i vlasnika podataka.
• Odvojena okruženja: razvoj s testnim podacima; stvarni podaci samo u produkciji.
• Sigurnosne kopije prije svake važne izmjene i prema planu pružatelja baze podataka.
• Zapisi i praćenje pogrešaka bez nepotrebnih osobnih podataka.
• Ograničenja protiv zlouporabe (učestalost zahtjeva) u javnim funkcijama.
• Provjera ovisnosti i sigurnosna ažuriranja tijekom ugovorenog održavanja.

7. Podizvršitelji obrade

Voditelj obrade daje izvršitelju obrade opće pisano odobrenje za angažiranje podizvršitelja obrade. Uobičajeno se koriste sljedeći; ponuda za svaki projekt navodi koji se primjenjuju (oni koje voditelj obrade ugovori u svoje ime nisu naši podizvršitelji obrade):

• Izvršitelj obrade svakom podizvršitelju obrade ugovorom nameće obveze zaštite podataka jednake onima iz ovog ugovora i odgovara voditelju obrade za njihovo izvršavanje.
• Prije dodavanja ili zamjene podizvršitelja obrade, o tome obavještava voditelja obrade e-poštom najmanje 30 dana unaprijed (ili kraće ako je hitno iz sigurnosnih razloga). Voditelj obrade može u tom roku uložiti prigovor iz opravdanih razloga; ako se ne pronađe alternativa, svaka strana može bez penala raskinuti dio usluge na koji se to odnosi.

8. Međunarodni prijenosi

Kada podizvršitelj obrade obrađuje podatke izvan Europskoga gospodarskog prostora, prijenos se obavlja uz zaštitnu mjeru iz poglavlja V. Opće uredbe o zaštiti podataka: odluku o primjerenosti (na primjer, Okvir za privatnost podataka EU-a i SAD-a za certificirane pružatelje) ili standardne ugovorne klauzule Europske komisije (Provedbena odluka (EU) 2021/914), uz potrebne dodatne mjere.

9. Povrede osobnih podataka

Ako izvršitelj obrade otkrije povredu sigurnosti koja utječe na podatke voditelja obrade, o tome ga obavještava bez nepotrebnog odgađanja, a najkasnije u roku od 48 sati od saznanja, s raspoloživim informacijama (što se dogodilo, koji su podaci i približno koliko ispitanika pogođeno, vjerojatne posljedice, poduzete ili predložene mjere te kontakt) i dopunjuje ih kako dolazi do novih. Tako voditelj obrade može obavijestiti nadzorno tijelo u roku od 72 sata iz čl. 33. Opće uredbe o zaštiti podataka.

10. Revizije

Izvršitelj obrade pisano odgovara na razumne upitnike voditelja obrade o obradi i dostavlja mu sigurnosnu dokumentaciju svojih podizvršitelja obrade koju oni objavljuju. Ako to nije dovoljno, voditelj obrade može zatražiti reviziju, uz najavu od 30 dana, u radno vrijeme, najviše jednom godišnje (osim u slučaju povrede ili zahtjeva nadzornog tijela), o svom trošku i putem revizora koji je obvezan na povjerljivost. Revizije podizvršitelja obrade provode se na temelju njihovih certifikata i izvješća.

11. Po završetku

Kada usluga završi, izvršitelj obrade voditelju obrade predaje njegove podatke u uobičajenom formatu (na primjer, JSON ili CSV) ili ih prenosi na račune voditelja obrade, prema njegovu izboru, a zatim ih briše iz sustava pod svojom kontrolom u roku od 30 dana (sigurnosne kopije brišu se u svom ciklusu, najviše 90 dana nakon toga), osim ako pravo nalaže njihovo čuvanje. Na zahtjev voditelja obrade pisano mu potvrđuje brisanje.

12. Odgovornost i prednost

Odgovornost svake strane uređena je čl. 82. Opće uredbe o zaštiti podataka i Uvjetima usluga. Ako je ovaj ugovor u suprotnosti s nekim drugim dijelom ugovora u pogledu zaštite podataka, prednost ima ovaj ugovor. Pitanja ili zahtjevi: hey@themariscal.com.