Ugovor o obradi podataka (čl. 28. GDPR-a)

Ovaj ugovor sastavni je dio Uvjeta korištenja ApartmanLinka. Uređuje kako Aquatrek Solutions P.S.A. kao izvršitelj obrade obrađuje osobne podatke gostiju u ime domaćina kao voditelja obrade.

1. Strane i predmet

• Voditelj obrade: domaćin koji je prihvatio Uvjete korištenja ApartmanLinka; njegovi su podaci u panelu.
• Izvršitelj obrade: Aquatrek Solutions P.S.A., ul. Romana 20A, 93-370 Łódź, Poljska, KRS 0001044483, [email protected].
• Predmet: održavanje stranice objekta i obrada podataka gostiju koji je posjete ili pošalju upit, kako je opisano u Prilogu A.
• Trajanje: dok traje ugovor o korištenju usluge i dok izvršitelj ne izbriše podatke prema točki 8.

2. Upute voditelja obrade

• Izvršitelj obrađuje podatke samo prema zabilježenim uputama voditelja, uključujući one o prijenosu u treće zemlje (točka 5. i Prilog C). Upute čine Uvjeti korištenja, ovaj ugovor i postavke koje voditelj odabere u panelu, a dodatne upute voditelj daje e-poštom.
• Izvan tih uputa izvršitelj obrađuje podatke samo kada to zahtijeva pravo Unije ili pravo države članice; o tome unaprijed obavještava voditelja, osim ako mu to zakon zabranjuje.
• Ako smatra da neka uputa krši GDPR ili druge propise o zaštiti podataka, izvršitelj o tome odmah obavještava voditelja.
• Izvršitelj ne koristi u svoje svrhe podatke gostiju koje obrađuje u ime voditelja. Sljedeća obrada ne provodi se u ime voditelja; izvršitelj je provodi kao samostalni voditelj obrade, u svoje svrhe i pod vlastitom odgovornošću, kako je opisano u njegovoj Politici privatnosti: (a) tehnički podaci potrebni za sigurnost usluge (IP adresa, vrijeme zahtjeva), koji se čuvaju najdulje 30 dana, osim ako su potrebni za istragu konkretnog incidenta; (b) statistika posjeta bez kolačića i bez pohrane IP adresa; (c) samo na stranicama objekata na adresi ApartmanLinka (ne na vlastitoj domeni voditelja) i samo uz privolu posjetitelja, Meta Pixel i Meta Conversions API za vlastito oglašavanje izvršitelja, za koje su izvršitelj i Meta Platforms Ireland Limited zajednički voditelji obrade. Izvršitelj Meti nikada ne šalje sadržaj upita ni kontaktne podatke gostiju. Voditelj ne dobiva podatke navedene pod (a) do (c) ni pristup oglasnim publikama izvršitelja. Izvršitelj sam obavještava posjetitelje o toj obradi, pribavlja i bilježi njihovu privolu te postupa po njihovim zahtjevima.

3. Povjerljivost i sigurnost

• Podacima pristupaju samo osobe kojima je to potrebno za pružanje usluge i koje su se obvezale na povjerljivost ili za koje vrijedi zakonska obveza povjerljivosti.
• Izvršitelj primjenjuje tehničke i organizacijske mjere iz Priloga B i prilagođava ih riziku i najnovijim dostignućima (čl. 32. GDPR-a).

4. Podizvršitelji obrade

• Voditelj obrade daje izvršitelju opće pisano odobrenje za angažiranje podizvršitelja obrade (drugih izvršitelja obrade iz čl. 28. st. 2. GDPR-a) navedenih u Prilogu C.
• O namjeravanom dodavanju ili zamjeni podizvršitelja izvršitelj obavještava voditelja e-poštom najmanje 14 dana unaprijed. Voditelj u tom roku može uložiti obrazloženi prigovor; ako strane prigovor ne riješe, voditelj može otkazati ugovor o korištenju usluge uz povrat razmjernog dijela unaprijed plaćene naknade.
• Izvršitelj s podizvršiteljem sklapa ugovor kojim mu nameće iste obveze zaštite podataka kao u ovom ugovoru i ostaje voditelju u cijelosti odgovoran za izvršavanje obveza podizvršitelja.

5. Prijenos izvan EGP-a

Podatke izvan Europskog gospodarskog prostora izvršitelj prenosi samo uz zaštitne mjere iz poglavlja V. GDPR-a: na temelju odluke Europske komisije o primjerenosti, uključujući okvir EU-a i SAD-a za privatnost podataka, ili na temelju standardnih ugovornih klauzula (Provedbena odluka Komisije (EU) 2021/914, modul 3).

6. Pomoć voditelju obrade

• Izvršitelj omogućuje voditelju pregled upita u panelu. Na zahtjev voditelja u roku od 5 radnih dana dostavlja kopiju podataka o pojedinom gostu, ispravlja ih ili briše.
• Zahtjev koji izvršitelj primi izravno od gosta prosljeđuje voditelju u roku od 5 radnih dana i na njega ne odgovara samostalno.
• Izvršitelj pomaže voditelju, uzimajući u obzir prirodu obrade i dostupne informacije, u ispunjavanju obveza iz čl. 32.–36. GDPR-a: sigurnost obrade, obavješćivanje o povredama, procjena učinka i prethodno savjetovanje.

7. Povreda osobnih podataka

• Izvršitelj obavještava voditelja o povredi osobnih podataka bez nepotrebnog odgađanja, a najkasnije 48 sati nakon što je za nju saznao. Obavijest sadrži podatke iz čl. 33. st. 3. GDPR-a koji su tada poznati, a ostale izvršitelj dostavlja čim ih sazna.
• Izvršitelj odmah poduzima razumne mjere za ograničavanje posljedica povrede.

8. Brisanje i vraćanje podataka

• Izvršitelj bez odgode briše upite koje voditelj izbriše i više ih ne obrađuje.
• Izvršitelj automatski briše upite starije od 12 mjeseci, osim ako voditelj zatraži drukčiji rok.
• Nakon prestanka ugovora o korištenju usluge izvršitelj čuva podatke još 30 dana kako bi voditelj mogao zatražiti njihovu kopiju, a zatim ih briše; iz sigurnosnih kopija brišu se u sljedećem redovnom ciklusu, osim ako propisi zahtijevaju njihovo čuvanje.

9. Dokazivanje usklađenosti i revizija

• Izvršitelj voditelju na zahtjev daje informacije potrebne za dokazivanje usklađenosti s čl. 28. GDPR-a.
• Voditelj može jednom godišnje, uz najavu od 30 dana, provesti reviziju sam ili putem neovisnog revizora obvezanog na povjerljivost. Revizija se provodi u radno vrijeme, bez ugrožavanja podataka drugih korisnika, a troškove snosi voditelj. Dodatna revizija moguća je nakon povrede osobnih podataka ili na zahtjev nadzornog tijela.

10. Odgovornost i završne odredbe

• Odgovornost stranaka prema ispitanicima uređuje čl. 82. GDPR-a; u ostalom vrijede odredbe o odgovornosti iz Uvjeta korištenja.
• U pitanjima zaštite podataka ovaj ugovor ima prednost pred Uvjetima korištenja.
• Mjerodavno pravo i nadležnost suda određeni su Uvjetima korištenja.
• Izmjene ovog ugovora izvršitelj najavljuje kao izmjene Uvjeta korištenja, a promjene podizvršitelja prema točki 4.

Prilog A. Opis obrade

Prilog B. Tehničke i organizacijske mjere

• šifrirana veza (HTTPS) za stranice objekata, panel i obrasce;
• pristup podacima samo za ovlaštene osobe s osobnim računima, a za administratorske račune dvofaktorska autentifikacija;
• lozinke i poveznice za prijavu pohranjene samo kao kriptografski sažetak;
• odvojen pristup: domaćin u panelu vidi samo upite za svoje objekte;
• redovite sigurnosne kopije i provjera povrata podataka;
• zaštita obrazaca od zlouporabe (ograničenje broja zahtjeva i zaštita od botova);
• bilježenje sigurnosnih događaja, sa zapisima koji se čuvaju najdulje 30 dana, osim ako su potrebni za istragu konkretnog incidenta;
• redovito ažuriranje softvera i biblioteka;
• obveza povjerljivosti za sve osobe s pristupom podacima;
• postupak za otkrivanje i prijavu povreda osobnih podataka;
• ugovori o obradi podataka sa svim podizvršiteljima.

Prilog C. Podizvršitelji obrade