Ugovor o obradi podataka.

1. Ugovorne strane

Izvršitelj obrade: signundsinn GmbH, Jean-Paul-Richter-Str. 3, 81369 München (pružatelj platforme Eywora).

Voditelj obrade: klijent s kojim postoji ugovor o korištenju platforme Eywora.

2. Predmet i trajanje obrade

Predmet obrade su podaci koji nastaju u okviru platforme Eywora, osobito podaci o proizvodima i katalogu te eventualno sadržani osobni podaci (npr. u opisima proizvoda ili recenzijama kupaca).

Trajanje obrade odgovara trajanju glavnog ugovora o korištenju platforme Eywora.

3. Vrsta podataka i kategorije ispitanika

Kategorije podataka: podaci o proizvodima, informacije iz kataloga, zapisi upita pretraživanja (anonimizirani) te eventualno podaci koje korisnici navedu u recenzijama proizvoda ili upitima.

Kategorije ispitanika: krajnji kupci voditelja obrade, u mjeri u kojoj su osobni podaci sadržani u katalogu ili zapisima.

Eywora ne prikuplja nikakve podatke krajnjih kupaca voditelja obrade izvan navedenog.

4. Pravo voditelja obrade na davanje uputa

Izvršitelj obrade obrađuje osobne podatke isključivo prema dokumentiranoj uputi voditelja obrade. Usmene upute potrebno je bez odgode potvrditi u tekstualnom obliku.

Smatra li izvršitelj obrade da neka uputa krši važeće propise o zaštiti podataka, o tome bez odgode obavještava voditelja obrade.

5. Tehničke i organizacijske mjere

Izvršitelj obrade poduzima sve potrebne tehničke i organizacijske mjere prema čl. 32 GDPR-a. To osobito uključuje:

• Kontrola fizičkog pristupa: podatkovni centar u Njemačkoj s dokumentiranom kontrolom ulaska, videonadzorom i višestupanjskom autentifikacijom.
• Kontrola pristupa sustavu: upravljanje korisnicima s pojedinačnim računima, politika lozinki, dvofaktorska autentifikacija za administratorske pristupe.
• Kontrola pristupa podacima: ovlaštenja temeljena na ulogama, načelo minimalnih prava, zapisi revizije za povlaštene radnje.
• Kontrola odvajanja: odvajanje klijenata na razini baze podataka, bez miješanja podataka klijenata.
• Enkripcija: TLS 1.3 za prijenos podataka, AES-256 za pohranjene podatke.
• Kontrola dostupnosti: dnevne sigurnosne kopije, georedundantno zrcaljenje unutar Njemačke, plan oporavka od katastrofe.
• Kontrola integriteta: kontrolni zbrojevi za integritet podataka, potpisani zapisi revizije.
• Kontrola naloga: pisane upute, dokumentirane aktivnosti obrade.

Podrobna dokumentacija tehničkih i organizacijskih mjera dostupna je na zahtjev.

6. Angažiranje podizvođača

Izvršitelj obrade za pružanje svojih usluga angažira podizvođače. Voditelj obrade za to daje opće pisano odobrenje.

Aktualan popis podizvođača (u Njemačkoj odnosno EU-u):

• Operater podatkovnog centra za hosting (Njemačka)
• Pružatelj usluge slanja e-pošte (EU, usklađen s GDPR-om)
• Usluga nadzora dostupnosti (EU)

Izmjene tog popisa priopćuju se voditelju obrade u tekstualnom obliku najmanje 30 dana prije stupanja na snagu. Voditelj obrade može uložiti prigovor u roku od 14 dana.

7. Podrška kod prava ispitanika

Izvršitelj obrade podupire voditelja obrade u ispunjavanju prava ispitanika (čl. 12 – 22 GDPR-a), osobito kod pristupa, ispravka, brisanja i prenosivosti podataka. Zahtjevi se u pravilu obrađuju unutar 5 radnih dana.

8. Prijava povreda podataka

U slučaju povrede zaštite osobnih podataka izvršitelj obrade bez odgode, a najkasnije u roku od 24 sata od saznanja, obavještava voditelja obrade. Obavijest sadrži sve informacije koje su voditelju obrade potrebne za vlastitu prijavu nadzornom tijelu.

9. Revizije i dokazi

Izvršitelj obrade omogućuje voditelju obrade provjeru poštivanja dogovorenih mjera. Ona se može provesti putem:

• Predočenja aktualnih certifikata (npr. ISO 27001)
• Pisane obavijesti o tehničkim i organizacijskim mjerama
• Revizije na licu mjesta uz prethodnu najavu u primjerenom roku

10. Prestanak i povrat podataka

Nakon prestanka glavnog ugovora svi podaci koje drži izvršitelj obrade brišu se u cijelosti u roku od 30 dana ili se, na želju voditelja obrade, vraćaju u strukturiranom, strojno čitljivom formatu.

Brisanje se na zahtjev pisano potvrđuje.

11. Odgovornost

Strane odgovaraju prema odredbama čl. 82 GDPR-a. U međusobnom odnosu vrijede odredbe o odgovornosti iz glavnog ugovora.

12. Završne odredbe

Ovaj je ugovor o obradi podataka sastavni dio glavnog ugovora o korištenju platforme Eywora. U slučaju proturječja između ovog ugovora i glavnog ugovora, u pitanjima zaštite podataka prednost imaju odredbe ovog ugovora.

Izmjene i dopune zahtijevaju pisani oblik. Primjenjuje se pravo Savezne Republike Njemačke.