Ugovor o obradi podataka

Voditelj obrade: Korisnik usluge Kontevia, poslovni subjekt ili samozaposlena osoba koja obrađuje osobne podatke sadržane u svojim računovodstvenim dokumentima i drugim podacima dostavljenim Usluzi.

Izvršitelj obrade: Eucalypt 4 s.r.o., Jicinska 226/17, Zizkov, 130 00 Praha 3, Češka Republika, matični broj 22103741, upisan u trgovački registar koji vodi Gradski sud u Pragu, broj spisa C 410771. Kontakt za zaštitu podataka: hello@kontevia.com.

1.1. Ovaj Ugovor uređuje prava i obveze stranaka kada Izvršitelj obrade obrađuje osobne podatke u ime Voditelja obrade u sklopu pružanja usluge Kontevia ("Usluga").

1.2. Ovaj Ugovor sastavni je dio Uvjeta poslovanja i stupa na snagu kada se Voditelj obrade registrira za Uslugu. Primjenjuje se sve dok Izvršitelj obrade obrađuje osobne podatke za Voditelja obrade.

2.1. Izvršitelj obrade obrađuje osobne podatke isključivo u svrhu pružanja Usluge, odnosno:

• primitak i digitalizacija računovodstvenih dokumenata dostavljenih putem chata, e-maila ili prijenosom datoteka;
• izdvajanje podataka iz dokumenata pomoću optičkog prepoznavanja znakova i automatiziranih modela za izdvajanje podataka;
• kategorizacija, otkrivanje duplikata i prijedlozi tretmana PDV-a;
• izdavanje računa i drugih dokumenata prema uputama Voditelja obrade;
• uvoz bankovnih transakcija koje Voditelj obrade poveže i njihovo usklađivanje s dokumentima;
• priprema sažetaka, izvještaja i izvoza u računovodstveni sustav ili knjigovođi Voditelja obrade;
• pohrana dokumenata i podataka unutar Usluge tijekom trajanja ugovora i razdoblja izvoza podataka.

2.2. Izvršitelj obrade obrađuje osobne podatke isključivo na temelju dokumentiranih uputa Voditelja obrade, uključujući upute u vezi s prijenosima u treće zemlje, osim ako je to obveza propisana pravom Unije ili države članice; u tom slučaju Izvršitelj obrade obavještava Voditelja obrade prije obrade, osim ako je to zakonom zabranjeno.

3.1. Ispitanici: poslovni partneri Voditelja obrade (dobavljači, kupci, kontaktne osobe), zaposlenici i vanjski suradnici Voditelja obrade ako se obrađuju dokumenti o plaćama ili troškovima, te vlastiti korisnici Usluge Voditelja obrade.

3.2. Kategorije osobnih podataka: identifikacijski podaci (ime, tvrtka, matični broj i PDV identifikacijski broj); kontaktni podaci (adresa, e-mail, telefon); financijski podaci (fakturirani iznosi, brojevi bankovnih računa, referentni brojevi plaćanja); podaci o zaposlenju ako se dostavljaju dokumenti o plaćama (naziv radnog mjesta, plaća, identifikatori osiguranja); podaci o korištenju od strane korisnika Voditelja obrade.

3.3. Izvršitelj obrade ne zahtijeva posebne kategorije podataka u smislu članka 9. GDPR-a. Voditelj obrade obvezuje se da putem Usluge neće dostavljati takve podatke, osim ako su sadržani u dokumentu koji je Voditelj obrade zakonski obvezan čuvati, u kojem slučaju je Voditelj obrade odgovoran za pravnu osnovu.

Izvršitelj obrade obvezuje se:

• obrađivati osobne podatke isključivo na temelju dokumentiranih uputa Voditelja obrade i samo u mjeri koja je nužna za Uslugu;
• osigurati da su osobe ovlaštene za obradu osobnih podataka preuzele obvezu čuvanja povjerljivosti ili podliježu odgovarajućoj zakonskoj obvezi povjerljivosti;
• provoditi tehničke i organizacijske mjere propisane člankom 32. GDPR-a, posebice one navedene u prilogu ovom Ugovoru;
• ne angažirati drugog izvršitelja obrade bez prethodnog općeg pisanog odobrenja Voditelja obrade, koje Voditelj obrade daje na temelju članka 6. ovog Ugovora;
• uzimajući u obzir prirodu obrade, pomagati Voditelju obrade odgovarajućim tehničkim i organizacijskim mjerama pri odgovaranju na zahtjeve ispitanika koji ostvaruju svoja prava;
• pomagati Voditelju obrade u osiguravanju usklađenosti s člancima 32. do 36. GDPR-a (sigurnost, obavještavanje o povredi podataka, procjena učinka na zaštitu podataka, prethodno savjetovanje), uzimajući u obzir prirodu obrade i informacije dostupne Izvršitelju obrade;
• prema izboru Voditelja obrade, izbrisati ili vratiti sve osobne podatke nakon završetka pružanja Usluge te izbrisati postojeće kopije, osim ako pravo Unije ili države članice zahtijeva pohranu;
• staviti na raspolaganje Voditelju obrade sve informacije potrebne za dokazivanje usklađenosti s člankom 28. GDPR-a te omogućiti i doprinositi revizijama, uključujući preglede, koje provodi Voditelj obrade ili revizor kojeg je Voditelj obrade ovlastio;
• odmah obavijestiti Voditelja obrade ako po njegovom mišljenju uputa krši GDPR ili druge odredbe prava Unije ili države članice o zaštiti podataka.

5.1. Izvršitelj obrade obavještava Voditelja obrade o svakoj povredi osobnih podataka bez nepotrebnog odgađanja, a najkasnije u roku od 48 sati od saznanja o njoj.

5.2. Obavijest sadrži barem: opis prirode povrede, uključujući, gdje je moguće, kategorije i približan broj dotičnih ispitanika i zapisa; ime i kontaktne podatke odgovorne osobe; opis vjerojatnih posljedica; te opis poduzetih ili predloženih mjera za rješavanje povrede i ublažavanje njezinih učinaka.

5.3. Izvršitelj obrade surađuje s Voditeljem obrade u ispunjavanju obveza Voditelja obrade prema nadležnom nadzornom tijelu i ispitanicima.

6.1. Voditelj obrade daje opće odobrenje Izvršitelju obrade za angažiranje podizvršitelja obrade za obradu osobnih podataka.

6.2. Trenutni popis podizvršitelja obrade, s namjenom i lokacijom svakog od njih, objavljen je na stranici Podizvršitelji obrade na web-mjestu Izvršitelja obrade i čini prilog ovom Ugovoru.

6.3. Izvršitelj obrade obavještava Voditelja obrade o svakom planiranom dodavanju ili zamjeni podizvršitelja obrade najmanje 14 dana unaprijed, putem e-maila na kontaktnu adresu Voditelja obrade ili obavijesti unutar Usluge, dajući Voditelju obrade mogućnost prigovora.

6.4. Ako Voditelj obrade podnese osnovan prigovor u roku od 14 dana od obavijesti, Izvršitelj obrade ili odustaje od planirane promjene ili nudi Voditelju obrade mogućnost raskida ugovora bez penala i uz povrat unaprijed plaćenih naknada za neiskorišteno razdoblje.

6.5. Izvršitelj obrade ugovorno nameće svakom podizvršitelju obrade iste obveze zaštite podataka kao one navedene u ovom Ugovoru, posebice dovoljna jamstva za provedbu odgovarajućih tehničkih i organizacijskih mjera. Ako podizvršitelj obrade ne ispuni svoje obveze, Izvršitelj obrade ostaje u potpunosti odgovoran Voditelju obrade za izvršenje obveza tog podizvršitelja obrade.

7.1. Osobni podaci pohranjuju se na poslužiteljima smještenima u Europskoj uniji. Izvršitelj obrade ne prenosi osobne podatke izvan Europskog gospodarskog prostora, osim podizvršiteljima obrade navedenima na stranici Podizvršitelji obrade i samo uz odgovarajuće zaštitne mjere prema poglavlju V. GDPR-a.

7.2. Takvi prijenosi temelje se na odluci Europske komisije o primjerenosti (uključujući EU-SAD okvir za zaštitu podataka za certificirane primatelje), standardnim ugovornim klauzulama koje je usvojila Komisija na temelju članka 46. stavka 2. točke (c) GDPR-a, ili drugim odgovarajućim zaštitnim mjerama, dopunjenima dodatnim mjerama gdje procjena učinka prijenosa to zahtijeva.

8.1. Izvršitelj obrade pruža Voditelju obrade razumnu pomoć u rješavanju zahtjeva ispitanika za ostvarivanje njihovih prava na temelju članaka 15. do 22. GDPR-a (pristup, ispravak, brisanje, ograničenje, prenosivost, prigovor). Usluga uključuje funkcije pretraživanja, izvoza i brisanja koje omogućuju Voditelju obrade da izravno riješi većinu zahtjeva.

8.2. Ako ispitanik izravno kontaktira Izvršitelja obrade, Izvršitelj obrade upućuje ispitanika Voditelju obrade bez nepotrebnog odgađanja i obavještava Voditelja obrade, osim ako se zahtjev odnosi na podatke za koje je Izvršitelj obrade sam voditelj obrade.

9.1. Izvršitelj obrade omogućuje Voditelju obrade ili revizoru kojeg je Voditelj obrade ovlastio provođenje revizija i pregleda radi provjere usklađenosti s ovim Ugovorom i s GDPR-om.

9.2. Revizije se provode o trošku Voditelja obrade, uz razumnu prethodnu najavu od najmanje 14 radnih dana, tijekom radnog vremena i na način koji ne ometa poslovanje Izvršitelja obrade niti ugrožava sigurnost podataka drugih korisnika. Revizor mora biti obvezan na povjerljivost.

9.3. Umjesto revizije na licu mjesta, Izvršitelj obrade može dostaviti važeće certifikate, izvještaje neovisnih revizora ili drugu dokumentaciju koja dokazuje usklađenost sa sigurnosnim mjerama, ako su oni dovoljni za odgovor na pitanja Voditelja obrade.

10.1. Ovaj Ugovor vrijedi tijekom trajanja ugovornog odnosa između Voditelja obrade i Izvršitelja obrade, odnosno sve dok Voditelj obrade koristi Uslugu.

10.2. Nakon prestanka ugovornog odnosa Izvršitelj obrade: omogućuje Voditelju obrade izvoz svojih podataka tijekom 90 dana; nakon isteka razdoblja od 90 dana nepovratno briše sve osobne podatke Voditelja obrade; briše sigurnosne kopije najkasnije 45 dana nakon brisanja primarnih podataka; te potvrđuje brisanje na zahtjev Voditelja obrade. Izuzeti su podaci koje Izvršitelj obrade mora čuvati na temelju prava Unije ili države članice (posebice knjigovodstvene evidencije).

10.3. Obveze iz ovog Ugovora, posebice povjerljivost i sigurnost, ostaju na snazi nakon prestanka ugovornog odnosa sve dok Izvršitelj obrade posjeduje bilo kakve osobne podatke Voditelja obrade.

11.1. Izvršitelj obrade odgovara za štetu prouzročenu obradom koja krši ovaj Ugovor ili GDPR u skladu s člankom 82. GDPR-a, posebice ako nije postupio u skladu s obvezama GDPR-a koje se posebno odnose na izvršitelje obrade ili je postupao izvan ili suprotno zakonitim uputama Voditelja obrade.

11.2. Ograničenja odgovornosti iz Uvjeta poslovanja primjenjuju se na ovaj Ugovor u mjeri dopuštenoj zakonom; ona ne ograničavaju prava ispitanika.

12.1. Ovaj Ugovor uređen je pravom Republike Češke i izravno primjenjivim pravom Europske unije, posebice GDPR-om.

12.2. U slučaju sukoba između ovog Ugovora i Uvjeta korištenja, ovaj Ugovor ima prednost u pitanjima zaštite osobnih podataka.

12.3. Izmjene ovog Ugovora zahtijevaju pisani oblik, što uključuje ažuriranu verziju objavljenu na web-mjestu i priopćenu Voditelju obrade u skladu s Uvjetima korištenja.

12.4. Sporove proizašle iz ovog Ugovora rješavaju sudovi Republike Češke nadležni prema sjedištu Obrađivača, ne dovodeći u pitanje prava ispitanika i nadzornih tijela.

Šifriranje

• AES-256 šifriranje podataka u mirovanju, uključujući sigurnosne kopije.
• TLS 1.2 ili viši za sve podatke u prijenosu, uključujući veze s podobrađivačima.

Kontrola pristupa

• Pristup prema načelu najmanjih ovlasti; svaki zaposlenik i sustav ima samo ovlasti potrebne za svoju ulogu.
• Višefaktorska autentifikacija za administrativni pristup i pristup infrastrukturi.
• Odvajanje radnih prostora korisnika na razini aplikacije i baze podataka.
• Redovita provjera i pravovremeno oduzimanje prava pristupa.

Dostupnost i otpornost

• Redovite automatizirane sigurnosne kopije s testiranim postupcima oporavka.
• Redundantna hosting infrastruktura unutar Europske unije.
• Nadzor dostupnosti i performansi s upozorenjima.

Cjelovitost i evidencija

• Evidencija pristupa osobnim podacima i administrativnih radnji.
• Trag revizije za dokumente: tko ih je poslao, izmijenio, odobrio ili izvezao i kada.
• Otkrivanje anomalija i sigurnosnih incidenata.

Organizacijske mjere

• Obveza povjerljivosti svih zaposlenika i vanjskih suradnika s pristupom osobnim podacima.
• Osposobljavanje zaposlenika u području zaštite podataka i sigurnosti.
• Dokumentirani interni postupci za obradu osobnih podataka i rješavanje zahtjeva ispitanika.
• Plan odgovora na incidente s definiranim ulogama i rokovima obavještavanja.
• Provjera zaštite podataka novih podobrađivača prije angažiranja.