Ugovor o obradi podataka

Ovaj ugovor o obradi podataka dio je uvjeta korištenja. Sklapaju ga posao koji koristi ubooq, kao voditelj obrade, i PORTUM VICTORIA, Ćikovići, Novo naselje 36c 51215 Kastav, OIB u postupku dodjele, kao izvršitelj obrade, u skladu s člankom 28. Uredbe (EU) 2016/679 (Opća uredba o zaštiti podataka, u nastavku: GDPR).

Predmet i trajanje

Izvršitelj obrađuje osobne podatke u ime voditelja kako bi mu pružao platformu ubooq: online rezervacije, kalendar, obavijesti e-mailom i ostale mogućnosti iz uvjeta korištenja. Ovaj ugovor traje koliko i ugovor o korištenju platforme, a obveze iz njega vrijede dok izvršitelj ne obriše podatke prema odjeljku Kraj obrade.

Ispitanici i vrste podataka

Ispitanici su:

• klijenti voditelja i osobe koje rezerviraju u njihovo ime;
• osobe upisane na listu čekanja;
• vlasnik i djelatnici voditelja.

Obrađuju se ovi podaci:

• ime i prezime, broj telefona, e-mail adresa i jezik;
• termini: usluge, djelatnik, vrijeme, cijena, status, povijest promjena i napomene (klijentova i interna);
• upisi na listu čekanja i obavijesti poslane s nje;
• molbe za Google recenziju: kad su poslane i je li poveznica otvorena;
• podaci o zaštiti rezervacija: potvrda e-maila kodom (kod se sprema samo kao HMAC) i blokada klijenta;
• o djelatnicima: ime, radno vrijeme, odsustva, termini i promjene koje su napravili.

Platforma nije namijenjena posebnim kategorijama osobnih podataka iz članka 9. GDPR-a, kao što su podaci o zdravlju. Voditelj ih ne upisuje u napomene, osim ako je to nužno i za to ima pravnu osnovu. Voditelj procjenjuje otkriva li već sama vrsta usluge (na primjer fizioterapija) takve podatke i, ako ih otkriva, osigurava odgovarajuću pravnu osnovu.

Upute voditelja

Izvršitelj podatke obrađuje samo radi pružanja platforme i samo prema dokumentiranim uputama voditelja. Uputama se smatraju ovaj ugovor, uvjeti korištenja i postavke koje voditelj odabere u administraciji, na primjer podsjetnici, lista čekanja i molbe za recenziju. Ako izvršitelj smatra da je neka uputa protivna propisima, o tome odmah obavještava voditelja.

Izvršitelj podatke ne koristi u vlastite svrhe, ne prodaje ih i ne koristi za oglašavanje. Za rad i razvoj platforme smije voditi zbirne brojke koje ne sadrže osobne podatke, na primjer broj rezervacija.

Povjerljivost

Osobe koje kod izvršitelja imaju pristup podacima obvezale su se na povjerljivost. Pristupaju im samo kad je to potrebno za rad platforme ili za podršku koju voditelj zatraži.

Sigurnost obrade

Izvršitelj provodi ove tehničke i organizacijske mjere (članak 32. GDPR-a):

• šifrirani prijenos podataka (HTTPS) na svim adresama platforme;
• odvojeni podaci svakog posla: veze među podacima provjerava sama baza, pa jedan posao ne može pristupiti podacima drugoga;
• pristup prema ulogama (vlasnik, djelatnik), uvijek provjeren na poslužitelju;
• lozinke spremljene kao argon2id hash, tokeni sesija i poveznica spremljeni samo kao hash, a sesija vezana za adresu na kojoj je otvorena;
• ograničen broj pokušaja na svim javnim obrascima;
• sigurnosne kopije svake noći, koje se čuvaju 14 dana;
• zapisi o radu sustava bez imena, brojeva telefona i e-mail adresa;
• poslužitelji u Europskoj uniji.

Izvršitelj mjere prilagođava razvoju tehnike i rizicima obrade.

Podizvršitelji

Voditelj daje opće odobrenje za angažiranje podizvršitelja. Trenutačni podizvršitelji su:

Podizvršitelj	Svrha	Mjesto obrade
netcup GmbH	poslužitelj, baza podataka i sigurnosne kopije	Europska unija
Amazon Web Services EMEA SARL (Amazon SES)	slanje e-mailova	Europska unija
Resend, Inc.	slanje e-mailova	SAD

Izvršitelj voditelja e-mailom obavještava o namjeri da doda ili zamijeni podizvršitelja najmanje 30 dana unaprijed. Voditelj na promjenu može uložiti prigovor. Ako se strane ne dogovore, voditelj može otkazati ugovor prije promjene, bez naknade za otkaz.

Izvršitelj s podizvršiteljem sklapa ugovor s jednakim obvezama zaštite podataka i voditelju odgovara za njegov rad.

Prijenos izvan EU-a

Podaci se prenose izvan Europskog gospodarskog prostora samo uz jamstva iz poglavlja V. GDPR-a, na primjer na temelju okvira EU-SAD za privatnost podataka (Data Privacy Framework) ili standardnih ugovornih klauzula Europske komisije.

Prava ispitanika

Administracija voditelju omogućuje da sam ispuni zahtjeve ispitanika:

• pristup i prenosivost: kartica klijenta i izvoz popisa klijenata (CSV);
• ispravak: uređivanje kartice klijenta;
• brisanje: „Obriši osobne podatke” na kartici klijenta trajno briše ime, kontakt i napomene, a termini ostaju bez njih;
• prigovor na molbe za recenziju: poveznica za odjavu u svakoj molbi.

Ako se ispitanik obrati izvršitelju, izvršitelj zahtjev bez odgađanja prosljeđuje voditelju i ne odgovara na njega sam. U ostalome izvršitelj voditelju pomaže u razumnoj mjeri.

Povreda osobnih podataka

Izvršitelj voditelja obavještava bez nepotrebnog odgađanja, a najkasnije 48 sati nakon što sazna za povredu osobnih podataka koja se tiče podataka voditelja. Obavijest sadrži ono što je u tom trenutku poznato od podataka iz članka 33. stavka 3. GDPR-a, a ostalo izvršitelj dopunjuje čim sazna.

Pomoć voditelju

Izvršitelj voditelju pomaže u ispunjavanju obveza iz članaka 32. do 36. GDPR-a (sigurnost obrade, obavješćivanje o povredi, procjena učinka i prethodno savjetovanje), uzimajući u obzir prirodu obrade i informacije koje su mu dostupne.

Kraj obrade

Do prestanka ugovora voditelj može izvesti podatke klijenata u izborniku Klijenti → Izvoz (CSV). Nakon prestanka izvršitelj u roku od 30 dana briše sve osobne podatke voditelja, osim onih koje ga propis obvezuje čuvati. Iz sigurnosnih kopija podaci nestaju u sljedećih 14 dana.

Provjere

Izvršitelj voditelju na zahtjev daje sve informacije potrebne da se dokaže poštivanje članka 28. GDPR-a. Voditelj ili revizor kojeg on ovlasti može provesti reviziju uz najavu od najmanje 30 dana, u radno vrijeme i tako da ne ugrozi podatke drugih poslova. Troškove revizije snosi voditelj, osim ako se utvrdi bitna povreda ovog ugovora.

Završne odredbe

Za odgovornost vrijede članak 82. GDPR-a i odjeljak o odgovornosti u uvjetima korištenja. Ako je neka odredba uvjeta korištenja u suprotnosti s ovim ugovorom, u pitanjima zaštite podataka prednost ima ovaj ugovor. Kontakt za pitanja o zaštiti podataka je hello@ubooq.com.