Pogodba o obdelavi podatkov

Upravljavec: Stranka storitve Kontevia, podjetje ali samostojni podjetnik, ki obdeluje osebne podatke, vsebovane v svojih računovodskih dokumentih in drugih podatkih, poslanih Storitvi.

Obdelovalec: Eucalypt 4 s.r.o., Jicinska 226/17, Zizkov, 130 00 Praha 3, Češka republika, matična številka 22103741, vpisana v sodni register pri Mestnem sodišču v Pragi, št. vložka C 410771. Kontakt za varstvo podatkov: hello@kontevia.com.

1.1. Ta pogodba ureja pravice in obveznosti strank, kadar Obdelovalec v imenu Upravljavca obdeluje osebne podatke pri zagotavljanju storitve Kontevia (v nadaljevanju »Storitev«).

1.2. Ta pogodba je sestavni del Pogojev poslovanja in začne veljati, ko se Upravljavec registrira za Storitev. Velja ves čas, ko Obdelovalec obdeluje osebne podatke za Upravljavca.

2.1. Obdelovalec obdeluje osebne podatke izključno za namen zagotavljanja Storitve, in sicer:

• prejem in digitalizacija računovodskih dokumentov, poslanih po klepetu, e-pošti ali z nalaganjem;
• zajem podatkov iz dokumentov z uporabo optičnega prepoznavanja znakov in modelov za samodejni zajem;
• kategorizacija, zaznavanje podvojenih vnosov in predlogi obravnave DDV;
• izdajanje računov in drugih dokumentov po navodilu Upravljavca;
• uvoz bančnih transakcij, ki jih poveže Upravljavec, in njihovo usklajevanje z dokumenti;
• priprava povzetkov, poročil in izvozov v računovodski sistem ali za svetovalca Upravljavca;
• shranjevanje dokumentov in podatkov znotraj Storitve v času trajanja pogodbe in izvoznega obdobja.

2.2. Obdelovalec obdeluje osebne podatke samo na podlagi dokumentiranih navodil Upravljavca, vključno z navodili glede prenosov v tretje države, razen če to od njega zahteva pravo Unije ali države članice; v tem primeru Obdelovalec Upravljavca obvesti pred obdelavo, razen če pravo tega ne prepoveduje.

3.1. Posamezniki, na katere se nanašajo podatki: poslovni partnerji Upravljavca (dobavitelji, stranke, kontaktne osebe), zaposleni in pogodbeni sodelavci Upravljavca, kadar se obdelujejo dokumenti o plačah ali stroških, ter lastni uporabniki Storitve pri Upravljavcu.

3.2. Kategorije osebnih podatkov: identifikacijski podatki (ime, podjetje, matična številka in ID za DDV); kontaktni podatki (naslov, e-pošta, telefon); finančni podatki (zaračunani zneski, številke bančnih računov, plačilni sklici); podatki o zaposlitvi, kadar so poslani dokumenti o plačah (naziv delovnega mesta, plača, identifikatorji zavarovanja); podatki o uporabi za uporabnike Storitve pri Upravljavcu.

3.3. Obdelovalec ne zahteva posebnih vrst podatkov v smislu 9. člena GDPR. Upravljavec se zavezuje, da takih podatkov ne bo pošiljal prek Storitve, razen če so vsebovani v dokumentu, ki ga je Upravljavec dolžan hraniti po zakonu; v tem primeru je Upravljavec odgovoren za pravno podlago.

Obdelovalec se zavezuje, da bo:

• osebne podatke obdeloval samo na podlagi dokumentiranih navodil Upravljavca in samo v obsegu, potrebnem za Storitev;
• zagotovil, da so se osebe, pooblaščene za obdelavo osebnih podatkov, zavezale k zaupnosti ali so zavezane k ustrezni zakonski dolžnosti zaupnosti;
• izvajal tehnične in organizacijske ukrepe, ki jih zahteva 32. člen GDPR, zlasti tiste, navedene v prilogi k tej pogodbi;
• brez predhodnega splošnega pisnega dovoljenja Upravljavca ne bo vključil drugega obdelovalca; tako dovoljenje Upravljavec podeli v skladu s 6. členom te pogodbe;
• ob upoštevanju narave obdelave Upravljavcu z ustreznimi tehničnimi in organizacijskimi ukrepi pomagal pri odzivanju na zahteve posameznikov, ki uveljavljajo svoje pravice;
• Upravljavcu pomagal pri zagotavljanju skladnosti s 32. do 36. členom GDPR (varnost, obveščanje o kršitvah, ocena učinka v zvezi z varstvom podatkov, predhodno posvetovanje), ob upoštevanju narave obdelave in informacij, ki so na voljo Obdelovalcu;
• po izbiri Upravljavca po koncu zagotavljanja Storitve izbrisal ali vrnil vse osebne podatke ter izbrisal obstoječe kopije, razen če pravo Unije ali države članice zahteva njihovo hrambo;
• Upravljavcu dal na voljo vse informacije, potrebne za dokazovanje skladnosti z 28. členom GDPR, ter omogočil in prispeval k revizijam, vključno s pregledi, ki jih izvaja Upravljavec ali revizor, ki ga Upravljavec pooblasti;
• Upravljavca nemudoma obvestil, če po njegovem mnenju kakšno navodilo krši GDPR ali druge določbe o varstvu podatkov po pravu Unije ali države članice.

5.1. Obdelovalec Upravljavca o vsaki kršitvi varstva osebnih podatkov obvesti brez nepotrebnega odlašanja, najpozneje v 48 urah po tem, ko zanjo izve.

5.2. Obvestilo vsebuje vsaj: opis narave kršitve, po možnosti vključno s kategorijami in približnim številom zadevnih posameznikov ter zapisov; ime in kontaktne podatke odgovorne osebe; opis verjetnih posledic; ter opis sprejetih ali predlaganih ukrepov za odpravo kršitve in omilitev njenih posledic.

5.3. Obdelovalec sodeluje z Upravljavcem pri izpolnjevanju njegovih obveznosti obveščanja pristojnega nadzornega organa in posameznikov, na katere se nanašajo podatki.

6.1. Upravljavec podeljuje splošno dovoljenje, da Obdelovalec za obdelavo osebnih podatkov vključi podobdelovalce.

6.2. Trenutni seznam podobdelovalcev, z namenom in lokacijo vsakega, je objavljen na strani s podobdelovalci na spletni strani Obdelovalca in je priloga te pogodbe.

6.3. Obdelovalec Upravljavca obvesti o vsaki nameravani dodatitvi ali zamenjavi podobdelovalca vsaj 14 dni vnaprej, po e-pošti na kontaktni naslov Upravljavca ali z obvestilom v Storitvi, s čimer Upravljavcu omogoči, da ugovarja.

6.4. Če Upravljavec v 14 dneh od obvestila poda utemeljen ugovor, Obdelovalec bodisi opusti nameravano spremembo bodisi Upravljavcu ponudi možnost odpovedi pogodbe brez sankcij, s vračilom vnaprej plačanih zneskov za neizkoriščeno obdobje.

6.5. Obdelovalec vsakemu podobdelovalcu s pogodbo naloži enake obveznosti glede varstva podatkov, kot so določene v tej pogodbi, zlasti zadostna jamstva za izvajanje ustreznih tehničnih in organizacijskih ukrepov. Če podobdelovalec ne izpolni svojih obveznosti, Obdelovalec ostaja v celoti odgovoren Upravljavcu za izpolnjevanje obveznosti tega podobdelovalca.

7.1. Osebni podatki so shranjeni na strežnikih znotraj Evropske unije. Obdelovalec osebnih podatkov ne prenaša zunaj Evropskega gospodarskega prostora, razen k podobdelovalcem, navedenim na strani s podobdelovalci, in le z ustreznimi zaščitnimi ukrepi v skladu s poglavjem V GDPR.

7.2. Taki prenosi temeljijo na sklepu Evropske komisije o ustreznosti (vključno z okvirom EU-ZDA za varstvo zasebnosti podatkov za certificirane prejemnike), standardnih pogodbenih klavzulah, ki jih je Komisija sprejela na podlagi točke (c) drugega odstavka 46. člena GDPR, ali drugih ustreznih zaščitnih ukrepih, dopolnjenih z dodatnimi ukrepi, kadar to zahteva ocena vpliva prenosa.

8.1. Obdelovalec Upravljavcu nudi razumno pomoč pri obravnavanju zahtev posameznikov za uveljavljanje njihovih pravic po 15. do 22. členu GDPR (dostop, popravek, izbris, omejitev, prenosljivost, ugovor). Storitev vključuje funkcije iskanja, izvoza in izbrisa, ki Upravljavcu omogočajo, da večino zahtev obravnava neposredno.

8.2. Če se posameznik, na katerega se nanašajo podatki, obrne neposredno na Obdelovalca, ga Obdelovalec brez nepotrebnega odlašanja napoti na Upravljavca in o tem obvesti Upravljavca, razen če se zahteva nanaša na podatke, za katere je upravljavec sam Obdelovalec.

9.1. Obdelovalec omogoči Upravljavcu ali revizorju, ki ga Upravljavec pooblasti, izvedbo revizij in pregledov za preverjanje skladnosti s to pogodbo in z GDPR.

9.2. Revizije se izvajajo na stroške Upravljavca, z razumnim predhodnim obvestilom vsaj 14 delovnih dni, v poslovnem času in na način, ki ne moti poslovanja Obdelovalca ali ne ogroža varnosti podatkov drugih strank. Revizor mora biti zavezan k zaupnosti.

9.3. Namesto revizije na kraju samem lahko Obdelovalec predloži veljavna potrdila, poročila neodvisnih revizorjev ali drugo dokumentacijo, ki dokazuje skladnost z varnostnimi ukrepi, kadar ta zadostujejo za odgovor na vprašanja Upravljavca.

10.1. Ta pogodba velja ves čas trajanja pogodbenega razmerja med Upravljavcem in Obdelovalcem, torej dokler Upravljavec uporablja Storitev.

10.2. Po prenehanju pogodbenega razmerja Obdelovalec: Upravljavcu omogoči izvoz podatkov 90 dni; po izteku 90-dnevnega obdobja nepovratno izbriše vse osebne podatke Upravljavca; varnostne kopije izbriše najpozneje 45 dni po izbrisu primarnih podatkov; ter na zahtevo Upravljavca potrdi izbris. Izvzeti so podatki, ki jih mora Obdelovalec hraniti po pravu Unije ali države članice (zlasti računovodski zapisi).

10.3. Obveznosti iz te pogodbe, zlasti glede zaupnosti in varnosti, ostanejo v veljavi tudi po prenehanju pogodbenega razmerja, dokler ima Obdelovalec v posesti kakršnekoli osebne podatke Upravljavca.

11.1. Obdelovalec je odgovoren za škodo, povzročeno z obdelavo, ki krši to pogodbo ali GDPR, v skladu z 82. členom GDPR, zlasti kadar ni izpolnil obveznosti GDPR, ki se posebej nanašajo na obdelovalce, ali je ravnal zunaj okvira ali v nasprotju z zakonitimi navodili Upravljavca.

11.2. Omejitve odgovornosti iz Pogojev poslovanja veljajo tudi za to pogodbo, kolikor to dopušča zakon; ne omejujejo pa pravic posameznikov, na katere se nanašajo podatki.

12.1. Tato pogodba se ureja s pravom Češke republike in neposredno uporabljivim pravom Evropske unije, zlasti Splošno uredbo o varstvu podatkov (GDPR).

12.2. V primeru neskladja med to pogodbo in splošnimi pogoji poslovanja ima ta pogodba prednost v zadevah varstva osebnih podatkov.

12.3. Spremembe te pogodbe zahtevajo pisno obliko, kar vključuje posodobljeno različico, objavljeno na spletni strani in sporočeno upravljavcu v skladu s splošnimi pogoji poslovanja.

12.4. Spore, ki izhajajo iz te pogodbe, rešujejo sodišča Češke republike, pristojna glede na sedež obdelovalca, brez poseganja v pravice posameznikov, na katere se nanašajo osebni podatki, in nadzornih organov.

Šifriranje

• Šifriranje podatkov v mirovanju z algoritmom AES-256, vključno z varnostnimi kopijami.
• TLS 1.2 ali novejši za vse podatke med prenosom, vključno s povezavami do podobdelovalcev.

Nadzor dostopa

• Dostop po načelu najmanjših potrebnih pravic; vsak zaposleni in sistem ima le tista dovoljenja, ki jih potrebuje za opravljanje svoje vloge.
• Večfaktorska avtentikacija za administrativni in infrastrukturni dostop.
• Ločitev delovnih prostorov strank na ravni aplikacije in baze podatkov.
• Redni pregled in takojšen preklic dostopnih pravic.

Razpoložljivost in odpornost

• Redne samodejne varnostne kopije s preverjenimi postopki obnovitve.
• Redundantna gostiteljska infrastruktura znotraj Evropske unije.
• Spremljanje razpoložljivosti in zmogljivosti z opozarjanjem.

Celovitost in beleženje

• Beleženje dostopa do osebnih podatkov in administrativnih dejanj.
• Revizijska sled za dokumente: kdo jih je oddal, spremenil, odobril ali izvozil in kdaj.
• Zaznavanje anomalij in varnostnih incidentov.

Organizacijski ukrepi

• Obveznosti zaupnosti za vse zaposlene in pogodbene izvajalce z dostopom do osebnih podatkov.
• Usposabljanje zaposlenih na področju varstva podatkov in varnosti.
• Dokumentirani notranji postopki za obdelavo osebnih podatkov in obravnavo zahtev posameznikov, na katere se nanašajo osebni podatki.
• Načrt odzivanja na incidente z opredeljenimi vlogami in roki za obveščanje.
• Pregled varstva podatkov za nove podobdelovalce pred njihovo vključitvijo.