Ugovor o obradi osobnih podataka

1. Pojmovi

Pojmovi „osobni podaci”, „obrada”, „voditelj obrade”, „izvršitelj obrade”, „ispitanik”, „povreda osobnih podataka” i „nadzorno tijelo” imaju značenje iz članka 4. GDPR-a. „Usluga” je usluga Fiskalizator kako je opisana u Glavnom ugovoru. „Podizvršitelj” je treća osoba koju Izvršitelj obrade angažira za obradu osobnih podataka Voditelja obrade.

2. Predmet i uloge

Izvršitelj obrade u ime Voditelja obrade obrađuje osobne podatke koje Voditelj obrade unosi u Uslugu ili ih u nju dovodi iz svoje web trgovine ili od informacijskog posrednika, isključivo radi pružanja Usluge. Predmet, priroda i svrha obrade, vrste podataka i kategorije ispitanika navedeni su u Prilogu 1.

Ovaj Ugovor ne obuhvaća podatke o korisničkom računu i naplati Usluge (npr. e-mail i lozinka korisnika). Za njih je KLIKOTEKA d.o.o. samostalni voditelj obrade, kako je opisano u Pravilima privatnosti.

3. Trajanje

Ugovor vrijedi dok Izvršitelj obrade obrađuje osobne podatke Voditelja obrade, odnosno dok traje Glavni ugovor i nakon toga do brisanja podataka prema članku 11.

4. Upute Voditelja obrade

Izvršitelj obrade obrađuje osobne podatke samo prema dokumentiranim uputama Voditelja obrade, uključujući one o prijenosu u treće zemlje. Uputama se smatraju ovaj Ugovor, Glavni ugovor, postavke koje Voditelj obrade odabere u Usluzi i radnje koje u njoj pokrene (npr. izdavanje i slanje računa, povezivanje trgovine, uvoz dokumenata). Druge upute daju se pisanim putem.

Iznimno, Izvršitelj obrade obrađuje podatke i kad to od njega zahtijeva pravo Unije ili Republike Hrvatske. U tom slučaju o tome obavještava Voditelja obrade prije obrade, osim ako to pravo zabranjuje. Ako smatra da uputa krši GDPR ili drugi propis o zaštiti podataka, Izvršitelj obrade o tome odmah obavještava Voditelja obrade.

5. Povjerljivost

Osobne podatke smiju obrađivati samo osobe koje ih trebaju za pružanje Usluge ili podrške i koje su se obvezale na povjerljivost ili za koje vrijedi zakonska obveza povjerljivosti. Pristup podrške korisničkom računu Voditelja obrade vremenski je ograničen, dozvoljava samo izmjenu postavki i bilježi se, kako je opisano u odjeljku 8 Glavnog ugovora.

6. Sigurnost obrade

Izvršitelj obrade provodi tehničke i organizacijske mjere iz članka 32. GDPR-a navedene u Prilogu 2, primjerene riziku obrade. Mjere se mogu mijenjati s razvojem tehnike, ali ukupna razina zaštite ne smije pasti.

7. Podizvršitelji

• Voditelj obrade daje opće ovlaštenje za angažiranje podizvršitelja. Popis podizvršitelja u trenutku sklapanja nalazi se u Prilogu 3.
• O dodavanju ili zamjeni podizvršitelja Izvršitelj obrade obavještava Voditelja obrade e-mailom i objavom na ovoj stranici najmanje 30 dana unaprijed.
• Voditelj obrade može uložiti prigovor u tom roku iz opravdanih razloga zaštite podataka. Ako se ne nađe rješenje, Voditelj obrade može raskinuti Glavni ugovor bez naknade za dio Usluge koji se odnosi na razdoblje nakon raskida.
• S podizvršiteljima Izvršitelj obrade sklapa ugovore koji im nameću obveze zaštite podataka jednake onima iz ovog Ugovora. Za njihovo ispunjavanje Izvršitelj obrade odgovara Voditelju obrade kao za vlastito postupanje.

8. Prijenos u treće zemlje

Podaci se pohranjuju i obrađuju unutar EU/EGP-a. Prijenos u treću zemlju dopušten je samo uz zaštitne mjere iz poglavlja V. GDPR-a: odluku o primjerenosti (uključujući Okvir za privatnost podataka EU-SAD) ili standardne ugovorne klauzule Europske komisije (Provedbena odluka (EU) 2021/914).

9. Pomoć Voditelju obrade

• Prava ispitanika: Usluga Voditelju obrade omogućuje da sam pronađe, ispravi, izveze i obriše podatke o svojim kupcima i dobavljačima. Zahtjev ispitanika koji stigne izravno Izvršitelju obrade bez odgode se prosljeđuje Voditelju obrade, a Izvršitelj obrade na njega ne odgovara sam.
• Procjena učinka i prethodno savjetovanje: Izvršitelj obrade daje informacije koje su mu dostupne i potrebne za obveze iz članaka 32. do 36. GDPR-a.
• Zahtjevi nadležnih tijela: o zahtjevu nadzornog ili drugog tijela koji se odnosi na podatke Voditelja obrade, Izvršitelj obrade ga obavještava, osim ako je to zabranjeno.

10. Povreda osobnih podataka

Izvršitelj obrade o povredi osobnih podataka obavještava Voditelja obrade bez nepotrebnog odgađanja, a najkasnije u roku od 48 sati nakon što je za nju saznao, na e-mail adresu korisničkog računa. Obavijest sadrži podatke koji su mu u tom trenutku poznati (narav povrede, kategorije i približan broj ispitanika i zapisa, vjerojatne posljedice, poduzete i predložene mjere, kontakt osobu), a ostali se dostavljaju čim budu poznati. Izvršitelj obrade bez odgode poduzima mjere za otklanjanje povrede i ublažavanje posljedica. Prijavu nadzornom tijelu i obavještavanje ispitanika provodi Voditelj obrade.

11. Brisanje i povrat podataka

• Voditelj obrade može u svakom trenutku izvesti svoje dokumente i podatke (PDF, XML i CSV), pa i nakon isteka pretplate, dok mu je korisnički račun u načinu samo za čitanje.
• Na zahtjev Voditelja obrade za brisanje računa, Izvršitelj obrade briše osobne podatke iz aktivnih sustava u roku od 30 dana. Iz sigurnosnih kopija podaci nestaju istekom njihova ciklusa (najduže 12 mjeseci). Do tada su šifrirani i koriste se samo za oporavak od kvara.
• Podaci koje je Voditelj obrade dužan čuvati prema poreznim i računovodstvenim propisima (npr. izdani fiskalizirani računi) ne brišu se prije isteka propisanog roka, osim ako ih je Voditelj obrade prije toga izvezao i izričito zatražio brisanje. Do brisanja se koriste samo za tu svrhu.

12. Dokazivanje usklađenosti i revizija

Izvršitelj obrade na zahtjev Voditelju obrade daje informacije potrebne za dokazivanje usklađenosti s ovim Ugovorom, prvenstveno pisanim odgovorima i opisom mjera. Ako to nije dovoljno, Voditelj obrade ili revizor kojeg ovlasti, a koji je obvezan na povjerljivost, može provesti reviziju najviše jednom godišnje, uz najavu najmanje 30 dana unaprijed, tijekom radnog vremena i bez ugrožavanja podataka drugih korisnika. Trošak revizije snosi Voditelj obrade, osim ako revizija utvrdi bitno kršenje ovog Ugovora.

13. Obveze Voditelja obrade

Voditelj obrade odgovara za zakonitost obrade podataka koje unosi u Uslugu ili ih u nju dovodi, za pravnu osnovu obrade i za obavještavanje svojih kupaca i dobavljača o obradi, uključujući korištenje Usluge kao izvršitelja obrade.

14. Odgovornost

Odgovornost stranaka prema ispitanicima uređena je člankom 82. GDPR-a. U međusobnom odnosu stranaka primjenjuju se ograničenja odgovornosti iz Glavnog ugovora, u mjeri u kojoj ih propis dopušta.

15. Završne odredbe

• U pitanjima zaštite osobnih podataka ovaj Ugovor ima prednost pred Glavnim ugovorom.
• Izmjene Ugovora objavljuju se na ovoj stranici, a o bitnim izmjenama Voditelj obrade obavještava se e-mailom najmanje 30 dana prije stupanja na snagu.
• Na Ugovor se primjenjuje pravo Republike Hrvatske. Za sporove je nadležan stvarno nadležan sud u Zagrebu.
• Kontakt za pitanja o zaštiti podataka: info@klikoteka.hr.

Prilog 1. Detalji obrade

• Priroda i svrha: izrada, fiskalizacija, slanje, primanje i čuvanje računa, ponuda, predračuna, e-Računa i ulaznih računa; preuzimanje narudžbi iz web trgovine i upis rezultata natrag u narudžbu; prepiska uz dokumente; knjigovodstveni izvozi; po izboru Voditelja obrade čitanje ulaznih dokumenata i asistent.
• Kategorije ispitanika: kupci Voditelja obrade (fizičke osobe i kontakt osobe pravnih osoba), dobavljači i njihove kontakt osobe, operateri i zaposlenici Voditelja obrade te osobe kojima Voditelj obrade odobri pristup (npr. knjigovođa).
• Vrste osobnih podataka: ime i prezime ili naziv, OIB ili drugi porezni broj, adresa naplate i dostave, e-mail adresa, telefon, podaci o narudžbi, stavkama, iznosima, načinu plaćanja i povratima, sadržaj prepiske uz dokument, OIB operatera.
• Posebne kategorije podataka: ne obrađuju se. Voditelj obrade ih ne unosi u Uslugu.
• Učestalost: trajno, za vrijeme korištenja Usluge.

Prilog 2. Tehničke i organizacijske mjere

• Šifriranje: fiskalizacijski certifikati i njihove lozinke, pristupni podaci posrednika, SMTP lozinke i tajne webhookova pohranjuju se šifrirano (AES-256-GCM). Lozinke korisnika pohranjuju se kao bcrypt sažetci. Sav promet zaštićen je TLS-om, uz HSTS.
• Odvajanje podataka: podaci su odvojeni po korisniku na razini poslužitelja. Svaki zahtjev provjerava se protiv vlasništva nad tvrtkom, ne samo u sučelju.
• Kontrola pristupa: pristup poslužiteljima samo SSH ključem, uz zaštitu od pogađanja lozinki i vatrozid koji izvana propušta samo nužne portove. Pristup podrške korisničkom računu ograničen je na sat vremena i na izmjenu postavki, a ulazak, izlazak i svaki upis se bilježe.
• Integritet: webhookovi i pozivi dodataka provjeravaju se kriptografskim potpisom. Poruke prema Poreznoj upravi potpisuju se certifikatom Voditelja obrade.
• Dostupnost i oporavak: dnevne šifrirane sigurnosne kopije baze (30 dnevnih i 12 mjesečnih), redovna provjera kopija, nadzor dostupnosti, automatsko ponavljanje fiskalizacije pri prekidu veze.
• Održavanje: redovita nadogradnja sustava i provjera poznatih ranjivosti u korištenim bibliotekama.
• Smanjenje podataka: zapisi rada ne sadrže lozinke, certifikate ni tajne. Razgovori s asistentom ne spremaju se na poslužitelju.

Prilog 3. Podizvršitelji

Nisu podizvršitelji: Porezna uprava (podaci joj se dostavljaju na temelju zakona), informacijski posrednik za e-Račun (s njim ugovor sklapa Voditelj obrade) te Shopify i WooCommerce trgovina Voditelja obrade (podaci iz njih dolaze po nalogu Voditelja obrade).