Ugovor o obradi podataka (DPA)

Standardne ugovorne klauzule

Službeni tekst prema EUR-Lexu (CELEX 32021D0915), Prilog Odluci. Odabrane opcije su označene sa [Selection: …], neizabrane opcije su precrtane; u suprotnom tekst ostaje nepromijenjen.

Odjeljak II: Obaveze stranaka

Član 6: Opis obrade

Detalji operacija ### obrade, a posebno kategorije ličnih podataka i svrhe za koje se lični podaci obrađuju u ime kontrolora, navedeni su u Aneksu II.

Član 7: Obaveze strana

7.1. Upute

(a) Izvršitelj obrađuje lične podatke samo na osnovu dokumentovanih uputa kontrolora, osim ako je na to obavezan prema pravu Unije ili pravu države članice na koje se odnosi. U takvom slučaju, obrađivač će obavijestiti kontrolora o tim zakonskim zahtjevima prije obrade, osim ako odgovarajući zakon to ne zabranjuje na osnovu važnog javnog interesa. Kontrolor može izdati daljnje upute tokom cijelog trajanja obrade ličnih podataka. Te upute se uvijek moraju dokumentovati.

(b) Izvršitelj obrade bez odlaganja obavještava kontrolora ako smatra da nalozi kontrolora krše Uredbu (EU) 2016/679, Uredbe (EU) 2018/1725 ili primjenjivih odredbi o zaštiti podataka Unije ili država članica.

7.2. Ograničenje svrhe

Obradjivač obrađuje lične podatke samo za specifičnu svrhu(e) navedenu(e) u Prilogu II, osim ako ne dobije daljnje upute od kontrolora.

7.3. Trajanje obrade ličnih podataka

Podaci će se obrađivati od strane procesora samo tokom trajanja navedenog u Prilogu II.

7.4. Sigurnost obrade

a) Procesor će provesti najmanje tehničke i organizacione mjere navedene u Prilogu III kako bi osigurao sigurnost ličnih podataka. Ovo uključuje zaštitu podataka od povrede sigurnosti koja, bila ona slučajna ili nezakonita, rezultira uništenjem, gubitkom, izmjenom ili neovlaštenim otkrivanjem podataka, ili neovlaštenim pristupom podacima (u daljem tekstu “povreda ličnih podataka”). Prilikom procjene odgovarajućeg nivoa zaštite, strane će u odgovarajućoj mjeri uzeti u obzir stanje tehnike, troškove implementacije, prirodu, obim, kontekst i svrhe obrade, kao i rizike za subjekte podataka.

b) Prerađivač podataka će svom osoblju omogućiti pristup ličnim podacima koji se prerađuju samo u mjeri koja je strogo neophodna za izvršavanje, upravljanje i nadzor ugovora. Obradioc podataka će osigurati da su osobe ovlaštene za obradu primljenih ličnih podataka preuzele obavezu čuvanja povjerljivosti ili da su podložne odgovarajućoj zakonskoj obavezi čuvanja povjerljivosti.

7.5. Osjetljivi podaci

Kada se obrada odnosi na lične podatke koji otkrivaju rasno ili etničko porijeklo, politička uvjerenja, vjerska ili filozofska uvjerenja, ili članstvo u sindikatu, ili genetske podatke ili biometrijske podatke u svrhu jedinstvene identifikacije fizičkog lica, podaci koji se odnose na zdravlje osobe, seksualni život ili seksualnu orijentaciju, ili podaci koji se odnose na krivične presude i prekršaje (u daljem tekstu ‘osjetljivi podaci’), obrađivač će primijeniti posebna ograničenja i/ili dodatne mjere zaštite.

7.6. Dokumentacija i usklađenost sa klauzulama

a) Stranke moraju moći dokazati usklađenost sa ovim klauzulama.

b) Obraditelj će bez odlaganja i na odgovarajući način postupiti po svim upitima kontrolora u vezi sa obradom podataka u skladu sa ovim klauzulama.

c) Prerađivač će kontroloru dostaviti sve informacije potrebne za dokazivanje usklađenosti sa obavezama utvrđenim u ovim klauzulama i koje direktno proizlaze iz Uredbe (EU) 2016/679 i/ili Uredbe (EU) 2018/1725. Na zahtjev kontrolora, obrađivač također mora omogućiti reviziju aktivnosti obrade obuhvaćene ovim klauzulama u razumnim intervalima ili kada postoje naznake neusklađenosti, te sarađivati u takvoj reviziji. Pri odlučivanju o provođenju pregleda ili revizije, kontrolor može uzeti u obzir sve relevantne certifikate koje posjeduje obrađivač.

(d) Kontrolor može samostalno provesti reviziju ili imenovati nezavisnog revizora. Revizije također mogu uključivati inspekcije u prostorijama ili fizičkim objektima procesora i, gdje je to prikladno, provodit će se uz razumno prethodno obavještavanje.

(e) Stranke će na zahtjev učiniti dostupnim informacije navedene u ovoj klauzuli, uključujući rezultate revizija, nadležnom nadzornom tijelu ili tijelima.

7.7. Korištenje podobrađivača

a) OPCIJA 2: OPŠTA PISMENA AUTORIZACIJA: Obrađivač ima opštu autorizaciju kontrolora da angažuje podobrađivače navedene u dogovorenoj listi. Prerađivač će izričito obavijestiti kontrolora pismeno, najmanje 30 dana unaprijed, o svim namjeravanim promjenama ove liste koje uključuju dodavanje ili zamjenu podprerađivača, čime se kontroloru omogućava dovoljno vremena iznijeti prigovore na ove promjene prije angažovanja dotičnih podizvođača. Prerađivač podataka će kontroloru podataka dostaviti potrebne informacije kako bi mu omogućio da ostvari svoje pravo na prigovor. [Izbor: Opcija 2, rok obavještavanja od 30 dana; sporazumljena lista je navedena u Aneksu IV]

(b) Kada obrađivač angažuje podobrađivača za obavljanje određenih aktivnosti obrade (u ime kontrolora), takvo angažovanje mora biti uređeno ugovorom koji nameće podizvođaču suštinski iste obaveze zaštite podataka kao one koje se primjenjuju na obrađivača prema ovim klauzulama. Obradjivač podataka osigurava da podobradjivač ispunjava obaveze na koje je obradjivač podataka podložan prema ovim klauzulama i u skladu sa Uredbom (EU) 2016/679 i/ili Uredbom (EU) 2018/1725.

(c) Prerađivač će, na zahtjev, dostaviti kontroloru primjerak svakog takvog ugovora o podpreradi i svih naknadnih izmjena istog. U mjeri potrebnoj za zaštitu poslovnih tajni ili drugih povjerljivih informacija, uključujući lične podatke, obrađivač može redigovati tekst ugovora prije dostavljanja kopije.

(d) Obraditelj je u potpunosti odgovoran kontroloru za osiguravanje da podizraditelj ispunjava svoje obaveze iz ugovora sklopljenog s obraditeljem. Obraditelj će obavijestiti kontrolora ako podizraditelj ne ispuni svoje ugovorne obaveze.

e) Obraditelj podataka će se dogovoriti s podizvođačem o klauzuli o trećoj korisničkoj strani, kojom se kontrolor podataka - u slučaju da obraditelj podataka prestane postojati de facto ili de jure ili postane insolventan - ima pravo raskinuti podugovor i naložiti podizvođaču da izbriše ili vrati lične podatke.

7.8. Međunarodni prenosi podataka

a) Svaki prijenos podataka od strane obrađivača podataka u treću zemlju ili međunarodnu organizaciju vrši se isključivo na osnovu dokumentovanih uputa kontrolora podataka ili radi usklađivanja sa specifičnom odredbom prava Unije ili prava države članice na koje se obrađivač podataka poziva, i mora biti u skladu sa Poglavljem V Uredbe (EU) 2016/679 ili Uredbe (EU) 2018/1725.

b) Kontrolor se slaže da, u slučajevima kada obrađivač angažuje podobrađivača u skladu sa klauzulom 7.7 da obavlja određene aktivnosti obrade (u ime kontrolora), a te aktivnosti obrade uključuju prenos ličnih podataka u smislu Poglavlja V Uredbe (EU) 2016/679, obrađivač i podobrađivač osiguravaju usklađenost sa Poglavljem V Uredbe (EU) 2016/679 korištenjem standardnih ugovornih klauzula koje je Komisija usvojila u skladu sa člankom 46. stavkom 2. Uredbe (EU) 2016/679, pod uslovom da su ispunjeni uslovi za primjenu tih standardnih ugovornih klauzula.

Član 8: Pomoć kontroloru

(a) Prerađivač će bez odlaganja obavijestiti kontrolora o svakom zahtjevu koji je primio od subjekta podataka. Neće samostalno odgovarati na zahtjev, osim ako ga na to ovlasti kontrolor.

(b) Uzimajući u obzir prirodu obrade, procesor će pomagati kontroloru u ispunjavanju njegove obaveze da odgovori na zahtjeve subjekata podataka koji žele ostvariti svoja prava. Prilikom ispunjavanja svojih obaveza iz tačaka (a) i (b), procesor će postupati prema uputama kontrolora.

c) Pored obaveze obrađivača podataka da pomaže voditelju obrade u skladu sa stavkom 8(b), obrađivač podataka će, uzimajući u obzir prirodu obrade podataka i informacije koje su mu dostupne, također pomagati voditelju obrade u ispunjavanju sljedećih obaveza:

• 1) obavezu provođenja procjene utjecaja namjeravanih obrada na zaštitu ličnih podataka (u daljem tekstu “procjena utjecaja na zaštitu podataka”) kada je oblika obrade vjerovatno da će rezultirati visokim rizikom za prava i slobode fizičkih lica;
• 2) obavezu da se konsultuje sa nadležnim nadzornim tijelom ili tijelima prije obrade, kada procjena utjecaja obrade na zaštitu podataka ukazuje da bi obrada rezultirala visokim rizikom, osim ako kontrolor ne poduzme mjere za ublažavanje tog rizika;
• 3) Obaveza da se osigura da su lični podaci činjenično tačni i ažurirani, pri čemu obradilac bez odlaganja obavještava kontrolora ako sazna da su lični podaci koje obrađuje netačni ili zastarjeli;
• 4) Obaveze u skladu sa člankom 32. Uredbe (EU) 2016/679. [Izbor: Opcija 1]

(d) Stranke će u Prilogu III navesti odgovarajuće tehničke i organizacijske mjere koje će obrađivač poduzeti kako bi pomogao kontroloru u primjeni ove klauzule, kao i obim i opseg potrebne pomoći.

Član 9: Obavještenje o povredi ličnih podataka

U slučaju povrede ### ličnih podataka, obrađivač će sarađivati sa kontrolorom i pružiti odgovarajuću pomoć kako bi kontrolor mogao ispuniti svoje obaveze prema člancima 33. i 34. Uredbe (EU) 2016/679 ili, gdje je primjenjivo, članke 34. i 35. Uredbe (EU) 2018/1725, uzimajući u obzir prirodu obrade i informacije dostupne procesoru.

9.1. Povreda sigurnosti koja utiče na podatke koje obrađuje kontrolor

U slučaju povrede ličnih podataka koja se odnosi na podatke koje obrađuje kontrolor, procesor će pomoći kontroloru na sljedeći način:

a) u bezodgašnom obavještavanju nadležnog nadzornog tijela ili tijela o povredi ličnih podataka, čim kontrolor sazna za povredu, gdje je to primjenjivo (osim ako povreda ličnih podataka vjerovatno neće rezultirati rizikom za prava i slobode fizičkih lica);

b) u prikupljanju sljedećih informacija, koje se moraju uključiti u obavještenje voditelja obrade u skladu s člankom 33. stavkom 3. Uredbe (EU) 2016/679, pri čemu ove informacije moraju sadržavati najmanje sljedeće: [Izbor: Opcija 1]

• 1) prirodu ličnih podataka, gdje je to moguće, navodeći kategorije i približan broj dotičnih subjekata podataka, kao i kategorije i približan broj dotičnih zapisa ličnih podataka;
• 2) vjerovatne posljedice povrede ličnih podataka;
• 3) mjere koje je voditelj obrade poduzeo ili predložio radi otklanjanja povrede ličnih podataka i, po potrebi, mjere za ublažavanje njenih mogućih štetnih posljedica.

Ako i u onoj mjeri u kojoj se sve ove informacije ne mogu dostaviti istovremeno, početno obavještenje sadrži informacije dostupne u to vrijeme, a daljnje informacije se dostavljaju bez nepotrebnog odlaganja čim postanu dostupne;

(c) u ispunjavanju obaveze iz članka 34. Uredbe (EU) 2016/679 da se subjekt podataka bez odlaganja obavijesti o povredi ličnih podataka, kada je povreda vjerovatno dovela do visokog rizika za prava i slobode fizičkih lica. [Izbor: Opcija 1]

9.2. Povreda zaštite podataka koje obrađuje obrađivač podataka

U slučaju povrede ličnih podataka koja se odnosi na podatke koje obrađuje obrađivačpodataka, obrađivač podataka je dužan bez odlaganja obavijestiti kontrolora podataka nakon što sazna za povredu. Ova obavijest mora sadržavati najmanje sljedeće informacije:

a) opis prirode povrede (ako je moguće, navode se kategorije i približan broj pogođenih subjekata podataka i približan broj pogođenih zapisa podataka);

b) kontakt podaci osobe za kontakt od koje se mogu dobiti dodatne informacije u vezi s povredom ličnih podataka;

c) vjerovatne posljedice i poduzete ili predložene mjere za rješavanje povrede ličnih podataka, uključujući mjere za ublažavanje njenih mogućih štetnih posljedica.

Ako i u onoj mjeri u kojoj se ne mogu dostaviti sve ove informacije u isto vrijeme, početno obavještenje sadrži informacije dostupne u to vrijeme, a daljnje informacije se dostavljaju bez nepotrebnog odlaganja čim postanu dostupne.

Strane će u Prilogu III navesti sve druge informacije koje je obrađivač dužan dostaviti kako bi pomogao kontroloru u ispunjavanju njegovih obaveza prema člancima 33. i 34. Uredbe (EU) 2016/679. [Izbor: Opcija 1]

Aneks I: Spisak stranaka

Obraditelj podataka

Transpareo AG, Tech Cluster Zug, Oberallmendstrasse 18, 6300 Zug, Švicarska, PDV broj CHE-220.381.580, koju zastupa Günter Reichelt, predsjednik Upravnog odbora. Kontakt: privacy@mail.transpareo.com.

Lice zaduženo za zaštitu podataka i zastupnik u EU u skladu sa članom 27. GDPR-a: DGD Deutsche Gesellschaft für Datenschutz, Prof. Dr. h.c. Heiko Jonny Maniero, Franz-Joseph-Str. 11, 80801 Munich, Njemačka, info@mail.dg-datenschutz.de.

Transpareo ima sjedište u Švicarskoj, za koju je Komisija donijela odluku o adekvatnosti (2000/518/EZ). Podaci se pohranjuju u Njemačkoj.

Kontrollori podataka

Transpareo sklapa ove klauzule pojedinačno sa svakim kontrolorom podataka. Kontrolor podataka je ili:

1. klijent koji koristi platformu Transpareo u skladu sa Općim uslovima i odredbama (OUO). Ime, adresa i kontakt osoba su podaci koje je klijent dostavio prilikom sklapanja ugovora putem platforme i koji se čuvaju na njegovom računu; kontakt osoba je vlasnik računa. Smatra se da je o tim klauzulama postignut dogovor zaključivanjem ovog ugovora (klauzula 14 Općih uslova).
2. dobavljač koji prosljeđuje upit svojim dobavljačima putem stranice dobavljača. Kontrolor podataka je kompanija na koju vodi link putem kojeg se upit prosljeđuje, kako je navedeno u upitu. Kontakt osoba je pojedinac koji prosljeđuje upit, koristeći ime i e-mail adresu koje navede u tom procesu. Dobavljač prihvata odredbe prihvatanjem istih u ime svoje kompanije prilikom prosljeđivanja upita; Transpareo pohranjuje prihvaćenu verziju i vrijeme prosljeđivanja zajedno s korištenim linkom. Pored toga, na njih se primjenjuju Uslovi korištenja za dobavljače.

Transpareo djeluje kao službenik za zaštitu podataka za kontrolora podataka čim ga ovaj imenuje.

Opći uslovi poslovanja ili Uslovi korištenja za dobavljače čine glavni ugovor u svakom pojedinačnom slučaju. Uslovi i odredbe sklapanju se elektronski (član 28(9) GDPR-a); datum pristupa je vrijeme sklapanja.

Aneks III: Tehničke i organizacione mjere

Šifriranje i pseudonimizacija

• Sve veze su šifrirane pomoću TLS-a.
• Podaci za prijavu i druge osjetljive informacije (PIN kodovi, ključevi za jednokratne kodove, SMTP akreditivi, API ključevi) pohranjuju se u bazi podataka šifrirani AES-256-GCM metodom, sa jedinstvenim ključem za svaki radni prostor.
• Sigurnosne kopije su šifrirane.
• Statistika posjeta pohranjuje IP adrese samo kao hash vrijednosti koristeći tajni ključ. Posjete stranici dobavljača nisu uključene u ovu statistiku.

Segregacija

• Svaki korisnik ima svoju bazu podataka.

Fizička sigurnost

• Serveri i pohrana objekata smješteni su u podatkovnim centrima koje upravlja Hetzner Online GmbH u Falkensteinu, Njemačka, a koji su certificirani prema standardu ISO 27001.

Identifikacija i autorizacija

• Lozinke se pohranjuju samo kao bcrypt hašovi.
• Dvostruka autentifikacija pomoću jednokratnog koda ili sigurnosnog ključa dostupna je svim korisnicima; kupac može zahtijevati ovu opciju za svoj radni prostor.
• Sesija se završava nakon perioda neaktivnosti koji je postavio kupac (podrazumijevano postavljanje: osam sati).
• Uloge i dozvole koje dodijeli klijent primjenjuju se unutar radnog prostora.
• Osoblje Transparea može pristupiti radnom prostoru samo prijavom u ime klijenta; to se bilježi u dnevniku platforme i u sigurnosnom dnevniku radnog prostora.
• Sa strane dobavljača: Link sadrži nasumični ključ od 16 znakova (80 bita); bez PIN-a, stranica ne prikazuje nijedan dio zapisa podataka. Nakon pet pogrešnih pokušaja unosa PIN-a, link se blokira na 15 minuta. Stranica prihvata najviše 120 zahtjeva u minuti po IP adresi. Nakon deblokade, sesiji se dodjeljuje novi identifikator. Stranica je blokirana za pretraživače i ne otkriva svoju adresu vanjskim stranicama.

Evidencija

• Promjene u zapisima podataka i aktivnosti na stranici dobavljača evidentiraju se sa vremenom, korisnikom i IP adresom, te se čuvaju pet godina; prijave i drugi sigurnosni događaji čuvaju se jednu godinu.
• Server dnevnici se brišu nakon 14 dana.

Integritet

• Slike od dobavljača se pohranjuju bez metapodataka u zaštićenom području izvan javnog skladišta dok se ne odobre nakon pregleda. Odgovor mijenja zapis o podacima samo nakon pregleda.
• Objavljene verzije lozinki su kriptografski potpisane.

Dostupnost i oporavak

• Svaka četiri sata, baza podataka i datoteke svakog aktivnog radnog prostora se sigurnosno kopiraju, šifriraju i pohranjuju odvojeno od servera u pohrani objekata u Njemačkoj. Lokalne kopije se brišu nakon četiri dana. Sigurnosne kopije u objektnom skladištu čuvaju se 90 dana i trajno se brišu u roku od narednih 30 dana.
• Usluge i serveri se kontinuirano nadziru; sigurnosne zakrpe se redovno instaliraju.
• Transpareo redovno pregledava ove mjere i prilagođava ih najnovijim dostignućima.

Podrška za kontrolora podataka (klauzule 8 i 9)

• Korisnik može pregledati, ispraviti i izbrisati podatke koji se odnose na njegov radni prostor na platformi. Dobavljač može pregledati odgovore na svoje otkrivanje podataka na stranici dobavljača i može opozvati bilo koju poveznicu koju je podijelio.
• Transpareo će odmah proslijediti svaki zahtjev subjekata podataka koji primi kontroloru podataka.
• Obavještenja u skladu sa klauzulama 7.7 i 9.2 šalju se e-poštom vlasniku računa korisnika i na e-mail adresu koju je dobavljač naveo prilikom dijeljenja. Kontakt osoba u skladu sa klauzulom 9.2(b) je privacy@mail.transpareo.com.
• Obavještenje prema klauzuli 9.2 također mora navesti vrijeme povrede i njeno otkrivanje, kao i pogođena radna područja ili veze.

Švicarski dodatak

Ovaj dodatak predstavlja daljnju klauzulu koja slijedi Klauzulu 2(b). U mjeri u kojoj je obrada podložna Švicarskom saveznom zakonu o zaštiti podataka (DSG):

1. reference na Uredbu (EU) 2016/679 smatrat će se i kao reference na odgovarajuće odredbe DSG-a, i to članak 28. GDPR-a na članak 9. DSG-a, članak 32. do članka 8, članovi 33 i 34 na član 24, članovi 35 i 36 na članove 22 i 23, Poglavlje V na članove 16 do 18, prava ispitanika na članove 25 do 32 DSG-a, i osjetljivi podaci prema odredbi 7.5 na lične podatke koji zahtijevaju posebnu zaštitu prema članu 5.c DSG-a;
2. nadležni nadzorni organ je Savezni povjerenik za zaštitu podataka i informacija (FDPIC); nadležnost nadzornih organa prema GDPR-u ostaje nepromijenjena;
3. švicarsko pravo se također smatra pravom države članice.

Na dan: 8. oktobar 2026.