Ugovor o obradi osobnih podataka
Ovaj ugovor u skladu s člankom 28. Uredbe (EU) 2016/679 (dalje u tekstu: „Opća uredba o zaštiti podataka“) sklapa se između Organizacije koja upotrebljava platformu Negotiq (dalje u tekstu: „Voditelj obrade“) i SynQflows, s.r.o., matični broj 23685450, Příčná 1892/4, Nové Město, 110 00 Praha 1 (dalje u tekstu: „Izvršitelj obrade“) te je sastavni dio Uvjeta korištenja. Sklapa se prihvaćanjem Uvjeta korištenja i traje za vrijeme trajanja Ugovora. Pojmovi napisani velikim početnim slovom imaju značenje utvrđeno u Uvjetima korištenja.
1. Predmet i opseg obrade
| Predmet | obrada osobnih podataka koje Voditelj obrade ili njegovi Korisnici unose na Platformu ili koje Platforma prema njihovoj uputi zaprima ili šalje: Sadržaj Korisnika (Upiti, specifikacije, privitci, cjenici, podaci kolega i kontaktnih osoba), poruke poslane na Adresu za zaprimanje e-pošte, pristupni podaci za povezane sustave i podaci preuzeti iz njih te podaci koji se šalju na Webhookove Voditelja obrade |
|---|---|
| Priroda i svrha | pohrana, stavljanje na raspolaganje ovlaštenim osobama i drugim stranama u pregovorima, uvoz i pretvorba cjenika, zaprimanje i obrada poruka e-pošte, preuzimanje podataka iz povezanih sustava, izvoz narudžbi, slanje obavijesti na Webhookove, izrada sigurnosnih kopija i druga tehnička obrada potrebna za pružanje Platforme |
| Kategorije ispitanika | zaposlenici i suradnici Voditelja obrade; kontaktne osobe njegovih poslovnih partnera; pošiljatelji poruka na Adresu za zaprimanje e-pošte; osobe čiji su podaci sadržani u cjeniku preuzetom iz povezanog sustava |
| Kategorije podataka | identifikacijski i kontaktni podaci (ime, poslovna adresa e-pošte, telefon, funkcija); podaci o porukama e-pošte (pošiljatelj, primatelj, predmet, vrijeme zaprimanja, rezultati provjere autentičnosti pošiljatelja) i njihovi privitci; podaci za prijavu u povezane sustave; drugi podaci koje Voditelj obrade unese u sadržaj. Voditelj obrade ne unosi posebne kategorije podataka ni podatke o kaznenim osudama |
| Trajanje | za vrijeme trajanja Ugovora i do brisanja u skladu s člankom 8.; poruke zaprimljene na Adresu za zaprimanje e-pošte 90 dana od zaprimanja; zapisi o isporuci Webhookova najviše 90 dana |
2. Upute Voditelja obrade
- Izvršitelj obrade obrađuje osobne podatke samo na temelju zabilježenih uputa Voditelja obrade, među ostalim i u pogledu prijenosa u treće zemlje. Upute su dane Uvjetima korištenja, ovim ugovorom i postavkama Platforme; postavljanjem Integracije (Adresa za zaprimanje e-pošte, povezivanje s ERP sustavom, Webhook, API ključ za agenta treće strane) Voditelj obrade daje uputu za obradu u opsegu koji Integracija zahtijeva. Daljnje upute daje Administrator Organizacije u tekstualnom obliku.
- Ako Izvršitelj obrade smatra da se uputom krši Opća uredba o zaštiti podataka ili drugi propisi o zaštiti osobnih podataka, o tome odmah obavješćuje Voditelja obrade i do njegova očitovanja nije dužan izvršiti uputu.
- Ako je Izvršitelj obrade obvezan obrađivati podatke na temelju prava Unije ili prava države članice, o tome unaprijed obavješćuje Voditelja obrade, osim ako se tim pravom zabranjuje takvo obavješćivanje (članak 28. stavak 3. točka (a) Opće uredbe o zaštiti podataka).
- Izvršitelj obrade ne obrađuje osobne podatke Voditelja obrade za vlastite svrhe. Anonimizirane i agregirane statistike (članak 11. stavak 2. Uvjeta korištenja) ne sadržavaju osobne podatke. Zapise Revizijskog lanca, Potvrde i Zapise AP2 Izvršitelj obrade obrađuje kao samostalni voditelj obrade u skladu s Politikom privatnosti, a ne u skladu s ovim ugovorom.
- Voditelj obrade odgovoran je za zakonitost obrade, za informiranje ispitanika i za to da je ovlašten unijeti osobne podatke na Platformu i odobriti pristup povezanim sustavima.
3. Obveze Izvršitelja obrade
- Izvršitelj obrade osigurava da su se osobe ovlaštene za obradu osobnih podataka obvezale na poštovanje povjerljivosti ili da podliježu zakonskim obvezama o povjerljivosti.
- Izvršitelj obrade provodi tehničke i organizacijske mjere iz članka 32. Opće uredbe o zaštiti podataka navedene u Prilogu 1. Mjere može mijenjati ako se time ne smanjuje ukupna razina sigurnosti.
- Izvršitelj obrade pomaže Voditelju obrade u rješavanju zahtjeva ispitanika, ponajprije alatima Platforme (izvoz podataka u formatu JSON, ispravak podataka, brisanje korisničkog računa Korisnika ili Organizacije). Zahtjev koji zaprimi izravno od ispitanika prosljeđuje Voditelju obrade bez nepotrebnog odgađanja i sam na njega ne odgovara meritorno.
- Izvršitelj obrade pomaže Voditelju obrade u osiguravanju usklađenosti s obvezama iz članaka od 32. do 36. Opće uredbe o zaštiti podataka (sigurnost, izvješćivanje o povredama, procjena učinka i prethodno savjetovanje), uzimajući u obzir prirodu obrade i informacije koje su mu dostupne.
4. Drugi izvršitelji obrade
- Voditelj obrade daje Izvršitelju obrade opće odobrenje za angažiranje drugih izvršitelja obrade. Aktualni popis:
Drugi izvršitelj obrade Djelatnost Lokacija, zaštitne mjere Railway Corporation smještaj (hosting) aplikacije i baze podataka, sigurnosne kopije SAD / EU; standardne ugovorne klauzule (modul 3) ili Okvir EU-a i SAD-a za privatnost podataka Anthropic, PBC pretvorba nestrukturiranih cjenika u tablicu (samo pri upotrebi te funkcije) SAD; standardne ugovorne klauzule (modul 3); bez treniranja modela na podacima pružatelj usluge zaprimanja e-pošte (konkretni pružatelj bit će dodan na popis prije pokretanja funkcije) zaprimanje poruka poslanih na Adrese za zaprimanje e-pošte i njihovo prosljeđivanje Platformi bit će navedeno zajedno s pružateljem; prijenos izvan EGP-a samo uz zaštitne mjere u skladu s člankom 7. pružatelj usluge e-pošte (SMTP) dostava računa, opomena i servisnih poruka (adresa primatelja i sadržaj poruke) EU - Izvršitelj obrade obavješćuje Voditelja obrade o namjeravanom dodavanju ili zamjeni drugog izvršitelja obrade najmanje 14 dana unaprijed na Platformi ili e-poštom Administratoru Organizacije. Voditelj obrade može u tom roku uložiti prigovor iz opravdanih razloga povezanih sa zaštitom osobnih podataka. Strane će nastojati pronaći rješenje; ako ga ne pronađu, Voditelj obrade može otkazati Ugovor bez sankcija s učinkom prije angažiranja drugog izvršitelja obrade.
- Izvršitelj obrade ugovorom nameće drugim izvršiteljima obrade iste obveze zaštite osobnih podataka kakve ima na temelju ovog ugovora, uključujući dostatna jamstva za provedbu tehničkih i organizacijskih mjera, te odgovara Voditelju obrade za izvršavanje njihovih obveza (članak 28. stavak 4. Opće uredbe o zaštiti podataka).
- Sustavi koje odabere sam Voditelj obrade (povezani ERP sustavi, feedovi proizvoda, krajnje točke Webhookova i agenti trećih strana) nisu drugi izvršitelji obrade Izvršitelja obrade; Izvršitelj obrade prenosi im podatke prema uputi Voditelja obrade.
5. Povreda osobnih podataka
- Izvršitelj obrade izvješćuje Voditelja obrade o povredi osobnih podataka bez nepotrebnog odgađanja, a najkasnije u roku od 48 sati od saznanja za nju, e-poštom Administratoru Organizacije i na Platformi.
- Izvješće sadržava informacije iz članka 33. stavka 3. Opće uredbe o zaštiti podataka koje su Izvršitelju obrade dostupne (priroda povrede, kategorije i približan broj ispitanika i evidencija, kontaktna točka, vjerojatne posljedice te poduzete ili predložene mjere); informacije koje još nisu poznate dostavljaju se postupno.
- Izvršitelj obrade bez odgađanja poduzima mjere za otklanjanje povrede i ublažavanje njezinih posljedica, surađuje s Voditeljem obrade i dokumentira povredu. Izvješće ne predstavlja priznanje odgovornosti.
6. Informacije i revizije
- Izvršitelj obrade stavlja Voditelju obrade na raspolaganje informacije potrebne za dokazivanje poštovanja obveza iz članka 28. Opće uredbe o zaštiti podataka, ponajprije putem dokumenta Sigurnost i povjerenje i odgovora na razuman sigurnosni upitnik.
- Ako te informacije nisu dostatne, Izvršitelj obrade omogućuje reviziju koju provodi Voditelj obrade ili neovisni revizor koji je obvezan na povjerljivost i nije konkurent Izvršitelja obrade, i to uz obavijest najmanje 30 dana unaprijed, najviše jednom u kalendarskoj godini (osim u slučaju povrede osobnih podataka ili zahtjeva nadzornog tijela), o trošku Voditelja obrade, bez pristupa podacima drugih klijenata i bez ugrožavanja njihove sigurnosti.
- Istražne ovlasti nadzornih tijela ostaju netaknute.
7. Prijenosi izvan EGP-a
- Prijenosi u treće zemlje odvijaju se samo uz zaštitne mjere u skladu s poglavljem V. Opće uredbe o zaštiti podataka.
- Ako Izvršitelj obrade prenosi osobne podatke drugom izvršitelju obrade u trećoj zemlji za koju ne postoji odluka o primjerenosti (ili ako primatelj nije certificiran u okviru Okvira EU-a i SAD-a za privatnost podataka), s njim sklapa standardne ugovorne klauzule u skladu s Provedbenom odlukom Komisije (EU) 2021/914, modul 3 (prijenos s izvršitelja obrade na izvršitelja obrade), procjenjuje pravno okruženje zemlje primatelja i donosi dopunske mjere (osobito enkripciju tijekom prijenosa i pri pohrani te smanjenje količine podataka).
- Voditelj obrade ovime odobrava takve prijenose. Izvršitelj obrade na zahtjev dostavlja Voditelju obrade presliku zaštitnih mjera; poslovne odredbe u njoj može učiniti nečitljivima.
8. Brisanje i vraćanje podataka
- Za vrijeme trajanja Ugovora Voditelj obrade može u bilo kojem trenutku izvesti podatke Organizacije u formatu JSON i sam izbrisati podatke.
- Nakon prestanka Ugovora Izvršitelj obrade, prema izboru Voditelja obrade, vraća (izvoz) ili briše osobne podatke, uključujući kopije, u roku od 30 dana, osim ako propisi zahtijevaju njihovu daljnju pohranu. Sigurnosne kopije prepisuju se u redovitom ciklusu najkasnije u roku od 90 dana; do tada su zaštićene i ne upotrebljavaju se.
- Poruke zaprimljene na Adresu za zaprimanje e-pošte automatski se brišu nakon 90 dana. Pristupne podatke za povezani sustav Izvršitelj obrade prestaje upotrebljavati odmah nakon uklanjanja povezivanja i briše ih najkasnije u skladu sa stavkom 2.
- Ovaj se članak ne primjenjuje na zapise iz članka 2. stavka 4. druge i treće rečenice.
9. Odgovornost, prednost i mjerodavno pravo
Odgovornost strana uređena je člankom 82. Opće uredbe o zaštiti podataka i Uvjetima korištenja, uključujući njihova ograničenja u opsegu u kojem ih zakon dopušta. U pitanjima zaštite osobnih podataka ovaj ugovor ima prednost pred Uvjetima korištenja. Na ovaj se ugovor primjenjuje pravo Češke Republike.
Prilog 1. — Tehničke i organizacijske mjere
- Enkripcija i pseudonimizacija: enkripcija cjelokupne komunikacije (TLS) i enkripcija pohranjenih podataka kod pružatelja usluge smještaja (hostinga); pristupni podaci za povezane sustave i tajni ključevi za potpisivanje Webhookova kriptirani algoritmom AES-256-GCM; lozinke kao sažeci (hash) Argon2id; kodovi za oporavak, sesije prijave i API ključevi pohranjeni samo kao sažeci; pseudonimizacija zapisa Revizijskog lanca nakon brisanja korisničkog računa.
- Kontrola pristupa: pristup na temelju uloga kojima upravlja Administrator Organizacije; razdvajanje podataka pojedinih Organizacija provedeno na razini aplikacije; privitci samo ovlaštenim osobama i uvijek kao preuzimanje; pristup produkcijskom okruženju samo ovlaštenim osobama Izvršitelja obrade obvezanima na povjerljivost.
- Zaštita korisničkih računa i sesija: kolačići HttpOnly, Secure i SameSite; provjera izvora (Origin) kod zahtjeva kojima se mijenjaju podaci; privremeno zaključavanje korisničkog računa nakon ponovljenih neuspjelih pokušaja prijave; promjena lozinke prekida sve sesije; ograničenja broja zahtjeva prema API-ju.
- Cjelovitost i provjerljivost: Revizijski lanac s kriptografski povezanim zapisima čiju izmjenu ili brisanje sprječava okidač baze podataka; potpisi Mandata, Potvrda i Zapisa AP2 algoritmom Ed25519; Webhookovi potpisani algoritmom HMAC-SHA256.
- Dostupnost i oporavak: redovite sigurnosne kopije baze podataka; prepisivanje sigurnosnih kopija najkasnije u roku od 90 dana.
- Smanjenje količine podataka i brisanje: poruke na Adresi za zaprimanje e-pošte 90 dana; operativni zapisi (logovi) najviše 90 dana; za potencijalne dobavljače samo opći kontakti poduzeća; automatski uvoz iz e-pošte samo od Provjerenih pošiljatelja.
- Siguran razvoj: automatizirani testovi sigurnosnih invarijanti (razdvajanje Organizacija, granice Agenata, povjerljivost ograničenja) pri svakoj promjeni; ovisnosti s točno utvrđenim verzijama; Agenti sadržaj datoteka ne tretiraju kao upute.
- Incidenti i preispitivanje: postupak rješavanja incidenata i izvješćivanja u skladu s člankom 5.; kanal za prijavu ranjivosti; redovito preispitivanje učinkovitosti mjera.
Detaljniji opis nalazi se u dokumentu Sigurnost i povjerenje.