Ugovor o obradi podataka (DPA)

Standardne ugovorne odredbe

Službeni tekst prema EUR-Lexu (CELEX 32021D0915), Prilog Odluci. Odabrane opcije označene su s [Opcija: …], neizabrane opcije su precrtane; u suprotnom tekst ostaje nepromijenjen.

Odjeljak II: Obveze stranaka

Članak 6.: Opis obrade

Detalji operacija ### obrade, osobito kategorije osobnih podataka i svrhe za koje se osobni podaci obrađuju u ime voditelja obrade, navedeni su u Prilogu II.

Članak 7.: Obveze stranaka

7.1. Upute

(a) Obraditelj obrađuje osobne podatke isključivo na temelju dokumentiranih uputa voditelja obrade, osim ako nije obvezan to učiniti prema pravu Unije ili pravu države članice na koje se odnosi. U takvom slučaju, obrađivač će obavijestiti voditelja obrade o tim zakonskim zahtjevima prije obrade, osim ako dotični zakon to ne zabranjuje zbog važnog javnog interesa. Voditelj obrade može davati daljnje upute tijekom cijelog razdoblja obrade osobnih podataka. Te se upute uvijek moraju dokumentirati.

(b) Izvršitelj obavještava voditelja obrade bez odgađanja ako smatra da nalozi voditelja obrade krše Uredbu (EU) 2016/679, Uredbe (EU) 2018/1725 ili primjenjivih odredbi o zaštiti podataka Unije ili država članica.

7.2. Ograničenje svrhe

Obraditelj obrađuje osobne podatke isključivo u određenu svrhu(e) navedenu(e) u Prilogu II, osim ako ne primi daljnje upute od voditelja obrade.

7.3. Trajanje obrade osobnih podataka

Podaci će se obrađivati od strane izvršitelja samo tijekom razdoblja navedenog u Prilogu II.

7.4. Sigurnost obrade

a) Izvršitelj će provesti najmanje tehničke i organizacijske mjere navedene u Prilogu III kako bi osigurao sigurnost osobnih podataka. To uključuje zaštitu podataka od povrede sigurnosti koja, bila ona slučajna ili nezakonita, dovodi do uništenja, gubitka, izmjene ili neovlaštenog otkrivanja podataka ili neovlaštenog pristupa podacima (u nastavku “povreda osobnih podataka”). Pri procjeni odgovarajuće razine zaštite, stranke će u odgovarajućoj mjeri uzeti u obzir stanje tehnike, troškove provedbe, prirodu, opseg, kontekst i svrhe obrade te rizike za ispitanike.

b) Obraditelj podataka omogućit će svom osoblju pristup osobnim podacima koji se obrađuju samo u onoj mjeri koja je strogo nužna za izvršavanje, upravljanje i nadzor ugovora. Obrađivač podataka mora osigurati da su osobe ovlaštene za obradu primljenih osobnih podataka preuzele obvezu čuvanja tajnosti ili da su podložne odgovarajućoj zakonskoj obvezi čuvanja tajnosti.

7.5. Osjetljivi podaci

Kada se obrada odnosi na osobne podatke koji otkrivaju rasno ili etničko podrijetlo, politička uvjerenja, vjerska ili filozofska uvjerenja ili članstvo u sindikatu, ili genetske podatke ili biometrijske podatke u svrhu jedinstvenog identificiranja fizičke osobe, podaci koji se odnose na zdravlje osobe, spolni život ili seksualnu orijentaciju, ili podaci koji se odnose na kaznena djela i prekršaje (u daljnjem tekstu “osjetljivi podaci”), obrađivač će primijeniti posebna ograničenja i/ili dodatne mjere zaštite.

7.6. Dokumentacija i usklađenost s odredbama

a) Stranke moraju moći dokazati usklađenost s ovim odredbama.

b) Obraditelj će bez odgađanja i na odgovarajući način postupiti po svim upitima voditelja obrade u vezi s obradom podataka u skladu s ovim odredbama.

c) Prerađivač će kontroloru dostaviti sve informacije potrebne za dokazivanje usklađenosti s obvezama utvrđenima u ovim odredbama i koje izravno proizlaze iz Uredbe (EU) 2016/679 i/ili Uredbe (EU) 2018/1725. Na zahtjev kontrolora, obrađivač također mora dopustiti reviziju aktivnosti obrade obuhvaćene ovim klauzulama u razumnim intervalima ili kada postoje naznake neusklađenosti te mora surađivati u takvoj reviziji. Pri odlučivanju o provedbi pregleda ili revizije, kontrolor može uzeti u obzir sve relevantne certifikate koje posjeduje obrađivač.

(d) Voditelj obrade može sam provesti reviziju ili imenovati neovisnog revizora. Revizije mogu uključivati i inspekcije u prostorijama ili fizičkim objektima obrađivača te se, gdje je to prikladno, provode uz razumno prethodno obavještenje.

(e) Stranke će na zahtjev učiniti informacije navedene u ovoj klauzuli, uključujući rezultate revizija, dostupnima nadležnom nadzornom tijelu ili tijelima.

7.7. Korištenje podizvođača

a) OPCIJA 2: OPĆA PISMENA ODOBRENJA: Obraditelj ima opća pismena odobrenja voditelja obrade za angažiranje podizvođača navedenih u dogovorenom popisu. Obrađivač će izričito pismeno obavijestiti kontrolora o svim namjeravanim promjenama na ovom popisu koje uključuju dodavanje ili zamjenu podizvođača, čime se kontroloru omogućuje dovoljno vremena iznijeti prigovore na te promjene prije angažiranja dotičnog/ih podizvođača. Prerađivač podataka dostavit će kontroloru podataka potrebne informacije kako bi mu omogućio ostvarivanje prava na prigovor. [Izbor: Opcija 2, rok obavijesti od 30 dana; sporazumljeni popis naveden je u Prilogu IV]

(b) Kada obrađivač angažira podizvođača za obavljanje određenih aktivnosti obrade (u ime voditelja obrade), takvo angažiranje mora biti uređeno ugovorom kojim se na podizvođača prenose suštinski iste obveze zaštite podataka kao što se primjenjuju na obrađivača prema ovim klauzulama. Obrađivač podataka osigurat će da podizvođač ispunjava obveze na koje je obrađivač podataka podložan prema ovim odredbama i u skladu s Uredbom (EU) 2016/679 i/ili Uredbom (EU) 2018/1725.

(c) Obrađivač će na zahtjev kontroloru dostaviti primjerak svakog takvog ugovora o podobradnji i svih naknadnih izmjena istog. U mjeri potrebnoj za zaštitu poslovnih tajni ili drugih povjerljivih informacija, uključujući osobne podatke, obrađivač može redigirati tekst ugovora prije dostave preslike.

(d) Obraditelj je u potpunosti odgovoran kontroloru za osiguravanje da podizraditelj ispunjava svoje obveze iz ugovora sklopljenog s obraditeljem. Obraditelj će obavijestiti kontrolora ako podizraditelj ne ispuni svoje ugovorne obveze.

e) Obraditelj podataka dogovorit će s podizvođačem klauzulu o trećoj korisničkoj strani, prema kojoj će voditelj obrade - u slučaju da obraditelj podataka prestane postojati de facto ili de jure ili postane insolventan - ima pravo raskinuti podugovor i naložiti podizvođaču da izbriše ili vrati osobne podatke.

7.8. Međunarodni prijenosi podataka

a) Svaki prijenos podataka od strane obraditelja podataka u treću zemlju ili međunarodnu organizaciju provodi se isključivo na temelju dokumentiranih uputa voditelja obrade ili radi poštivanja posebne odredbe prava Unije ili prava države članice na koje se obraditelj podataka poziva, te mora biti u skladu s Poglavljem V. Uredbe (EU) 2016/679 ili Uredbe (EU) 2018/1725.

b) Upravitelj se slaže da, u slučajevima kada obrađivač angažira podobrađivača u skladu s odredbom 7.7 radi obavljanja određenih aktivnosti obrade (u ime upravitelja), te aktivnosti obrade uključuju prijenos osobnih podataka u smislu Poglavlja V. Uredbe 2016/679, obrađivač i podobrađivač osigurat će usklađenost s Poglavljem V Uredbe (EU) 2016/679 koristeći standardne ugovorne klauzule koje je Komisija usvojila u skladu s člankom 46. stavkom 2. Uredbe (EU) 2016/679, pod uvjetom da su ispunjeni uvjeti za primjenu tih standardnih ugovornih klauzula.

Članak 8.: Pomoć voditelju obrade

(a) Izvršitelj će bez odgađanja obavijestiti voditelja obrade o svakom zahtjevu koji je primio od ispitanika. Ne smije sam odgovoriti na zahtjev, osim ako ga voditelj obrade ovlasti na to.

(b) Uzimajući u obzir prirodu obrade, izvršitelj će pomoći voditelju obrade u ispunjavanju njegove obveze odgovaranja na zahtjeve ispitanika koji žele ostvariti svoja prava. Prilikom ispunjavanja svojih obveza iz stavaka (a) i (b), izvršitelj će postupati prema uputama voditelja obrade.

c) Osim obveze obrađivača podataka da pomaže voditelju obrade u skladu s člankom 8. stavkom b), obrađivač podataka, uzimajući u obzir prirodu obrade podataka i informacije kojima raspolaže, također pomaže voditelju obrade u ispunjavanju sljedećih obveza:

• 1) obvezu provedbe procjene utjecaja namjeravanih operacija obrade na zaštitu osobnih podataka (u daljnjem tekstu “procjena utjecaja na zaštitu podataka”) kada je oblika obrade vjerojatno da će rezultirati visokim rizikom za prava i slobode fizičkih osoba;
• 2) obvezu konzultiranja nadležnog nadzornog tijela ili tijela prije obrade, kada procjena utjecaja obrade na zaštitu osobnih podataka ukazuje da bi obrada rezultirala visokim rizikom, osim ako kontrolor ne poduzme mjere za ublažavanje tog rizika;
• 3) Obveza osigurati da su osobni podaci činjenično točni i ažurirani, pri čemu obraditelj bez odgađanja obavještava voditelja obrade ako sazna da su osobni podaci koje obrađuje netočni ili zastarjeli;
• 4) Obveze u skladu s člankom 32. Uredbe (EU) 2016/679. [Izbor: Opcija 1]

(d) Stranke će u Prilogu III navesti odgovarajuće tehničke i organizacijske mjere koje će obrađivač poduzeti kako bi pomogao voditelju obrade u primjeni ove odredbe, kao i opseg i razmjer potrebne pomoći.

Članak 9: Obavijest o povredi osobnih podataka

U slučaju povrede ### osobnih podataka, obrađivač će surađivati s voditeljem### obradei pružiti mu odgovarajuću pomoć kako bi voditelj obrade mogao ispuniti svoje obveze prema člancima 33. i 34. Uredbe (EU) 2016/679 ili, gdje je primjenjivo, članke 34. i 35. Uredbe (EU) 2018/1725, uzimajući u obzir prirodu obrade i informacije dostupne obrađivaču.

9.1. Kršenje sigurnosti koje utječe na podatke koje obrađuje voditelj obrade

U slučaju povrede osobnih podataka koja se odnosi na podatke koje obrađuje voditelj obrade, izvršitelj će pomoći voditelju obrade na sljedeći način:

a) u bezodgašnom obavještavanju nadležnog nadzornog tijela ili tijela o povredi osobnih podataka, nakon što kontrolor postane svjestan povrede, gdje je to primjenjivo (osim ako povreda osobnih podataka vjerojatno neće dovesti do rizika za prava i slobode fizičkih osoba);

b) u prikupljanju sljedećih informacija, koje se moraju uključiti u obavijest voditelja obrade u skladu s člankom 33. stavkom 3. Uredbe (EU) 2016/679, pri čemu te informacije moraju sadržavati najmanje sljedeće: [Izbor: Opcija 1]

• 1) prirodu osobnih podataka, gdje je to moguće, s navođenjem kategorija i približnog broja dotičnih ispitanika, kao i kategorija i približnog broja zapisa osobnih podataka koji su predmet povrede;
• 2) vjerojatne posljedice povrede osobnih podataka;
• 3) mjere koje je voditelj obrade poduzeo ili predložio radi rješavanja povrede osobnih podataka i, gdje je primjereno, mjere za ublažavanje njezinih mogućih štetnih učinaka.

Ako i u onoj mjeri u kojoj se sve ove informacije ne mogu pružiti istovremeno, početno obavještenje sadržavat će informacije dostupne u to vrijeme, a daljnje informacije bit će pružene bez nepotrebnog odgađanja čim postanu dostupne;

(c) u ispunjavanju obveze iz članka 34. Uredbe (EU) 2016/679 o obavještavanju ispitanika bez nepotrebnog odgađanja o povredi osobnih podataka, kada je povreda vjerojatno dovest će do visokog rizika za prava i slobode fizičkih osoba. [Izbor: Opcija 1]

9.2. Povreda zaštite podataka koje obrađuje obraditelj

U slučaju povrede osobnih podataka koja se odnosi na podatke koje obrađuje obraditelj, obraditelj mora bez odgađanja obavijestiti voditelja obrade nakon što postane svjestan povrede. Ta obavijest mora sadržavati najmanje sljedeće informacije:

a) opis prirode povrede (po mogućnosti, s navođenjem kategorija i približnog broja pogođenih ispitanika i približnog broja pogođenih zapisa);

b) kontaktne podatke osobe za kontakt od koje se mogu dobiti daljnje informacije o povredi osobnih podataka;

c) vjerojatne posljedice i poduzete ili predložene mjere za rješavanje povrede osobnih podataka, uključujući mjere za ublažavanje njezinih mogućih štetnih učinaka.

Ako i u mjeri u kojoj se ne mogu pružiti sve ove informacije u isto vrijeme, početno obavještenje sadržavat će informacije dostupne u to vrijeme, a daljnje informacije bit će pružene bez nepotrebnog odgađanja čim postanu dostupne.

Stranke će u Prilogu III navesti sve druge informacije koje je obraditelj dužan pružiti kako bi pomogao voditelju obrade u ispunjavanju njegovih obveza prema člancima 33. i 34. Uredbe (EU) 2016/679. [Izbor: Opcija 1]

Prilog I: Popis stranaka

Obrađivač podataka

Transpareo AG, Tech Cluster Zug, Oberallmendstrasse 18, 6300 Zug, Švicarska, PDV broj CHE-220.381.580, koju zastupa Günter Reichelt, predsjednik Upravnog odbora. Kontakt: privacy@mail.transpareo.com.

Službenik za zaštitu podataka i predstavnik u EU-u u skladu s člankom 27. GDPR-a: DGD Deutsche Gesellschaft für Datenschutz, Prof. Dr. h.c. Heiko Jonny Maniero, Franz-Joseph-Str. 11, 80801 Munich, Njemačka, info@mail.dg-datenschutz.de.

Transpareo ima sjedište u Švicarskoj, za koju je Komisija donijela odluku o primjerenosti (2000/518/EZ). Podaci se pohranjuju u Njemačkoj.

Kontrollori podataka

Transpareo sklapa ove klauzule pojedinačno sa svakim kontrollorom podataka. Upravitelj obrade je ili:

1. korisnik koji koristi platformu Transpareo u skladu s Općim uvjetima poslovanja (OUP). Ime, adresa i kontakt osoba su podaci koje je korisnik naveo prilikom sklapanja ugovora putem platforme i koji se vode na njegovom računu; kontakt osoba je vlasnik računa. Smatra se da je o tim odredbama dogovoreno prilikom sklapanja ovog ugovora (članak 14. Općih uvjeta).
2. dobavljač koji prosljeđuje upit svojim dobavljačima putem stranice dobavljača. Kontrolor podataka je tvrtka na koju vodi poveznica putem koje se upit prosljeđuje, kako je navedeno u upitu. Kontaktna osoba je pojedinac koji prosljeđuje upit, koristeći ime i adresu e-pošte koje navede u tom procesu. Dobavljač prihvaća odredbe prihvaćanjem u ime svoje tvrtke prilikom prosljeđivanja upita; Transpareo pohranjuje prihvaćenu verziju i vrijeme prosljeđivanja zajedno s korištenom poveznicom. Nadalje, na njih se primjenjuju Uvjeti korištenja za dobavljače.

Transpareo djeluje kao voditelj zaštite podataka za voditelja obrade čim ga ovaj imenuje.

Opći uvjeti poslovanja ili Uvjeti korištenja za dobavljače u svakom slučaju čine glavni ugovor. Uvjeti i odredbe sklapanju se elektroničkim putem (članak 28. stavak 9. GDPR-a); datum pristupa je trenutak sklapanja.

Prilog III: Tehničke i organizacijske mjere

Šifriranje i pseudonimizacija

• Sve veze su šifrirane pomoću TLS-a.
• Podaci za prijavu i druge osjetljive informacije (PIN-ovi, ključevi za jednokratne kodove, SMTP vjerodajnice, API ključevi) pohranjuju se u bazi podataka šifrirani AES-256-GCM metodom, s jedinstvenim ključem za svaki radni prostor.
• Sigurnosne kopije su šifrirane.
• Statistika posjeta pohranjuje IP adrese samo kao hash vrijednosti pomoću tajnog ključa. Posjeti stranici dobavljača nisu uključeni u ovu statistiku.

Segregacija

• Svaki korisnik ima vlastitu bazu podataka.

Fizička sigurnost

• Poslužitelji i pohrana objekata smješteni su u podatkovnim centrima koje upravlja Hetzner Online GmbH u Falkensteinu u Njemačkoj, a koji su certificirani prema normi ISO 27001.

Identifikacija i autorizacija

• Lozinke se pohranjuju samo kao bcrypt hashovi.
• Sva korisnicima je dostupna dvofaktorska autentifikacija pomoću jednokratnog koda ili sigurnosnog ključa; korisnik može to zahtijevati za svoj radni prostor.
• Sesija završava nakon razdoblja neaktivnosti koje je postavio korisnik (zadano postavljanje: osam sati).
• Uloga i dopuštenja koje dodijeli klijent primjenjuju se unutar radnog prostora.
• Osoblje tvrtke Transpareo može pristupiti radnom prostoru samo prijavom u ime klijenta; to se bilježi u zapisniku platforme i u sigurnosnom zapisniku radnog prostora.
• S strane dobavljača: poveznica sadrži nasumični ključ od 16 znakova (80 bita); bez PIN-a, stranica ne prikazuje nijedan dio zapisa podataka. Nakon pet pogrešnih PIN-ova, poveznica se blokira na 15 minuta. Stranica prihvaća najviše 120 zahtjeva u minuti po IP adresi. Nakon deblokade, sesiji se dodjeljuje novi identifikator. Stranica je blokirana za tražilice i ne otkriva svoju adresu vanjskim stranicama.

Zapisivanje

• Promjene u zapisima podataka i aktivnosti na stranici dobavljača bilježe se s vremenom, korisnikom i IP adresom te se čuvaju pet godina; prijave i drugi sigurnosni događaji čuvaju se jednu godinu.
• Zapisnici poslužitelja brišu se nakon 14 dana.

Integritet

• Slike dobavljača pohranjuju se bez metapodataka u zaštićenom području izvan javne pohrane dok se ne odobre nakon pregleda. Odgovor mijenja zapis o podacima tek nakon što je pregled dovršen.
• Objavljene verzije lozinki kriptografski su potpisane.

Dostupnost i oporavak

• Svaka četiri sata vrši se sigurnosno kopiranje baze podataka i datoteka svakog aktivnog radnog prostora, koje se šifrirano pohranjuje odvojeno od poslužitelja u pohrani objekata u Njemačkoj. Lokalne kopije brišu se nakon četiri dana. Sigurnosne kopije u objektnom pohranjivanju čuvaju se 90 dana i trajno se brišu u roku od dodatnih 30 dana.
• Usluge i poslužitelji kontinuirano se nadziru; sigurnosne zakrpe redovito se instaliraju.
• Transpareo redovito pregledava ove mjere i prilagođava ih najnovijim dostignućima.

Podrška voditelju obrade (članci 8. i 9.)

• Korisnik može pregledavati, ispravljati i brisati podatke koji se odnose na njegov radni prostor na platformi. Dobavljač može pregledati odgovore na svoje otkrivanje podataka na stranici dobavljača i može opozvati bilo koju poveznicu koju je podijelio.
• Transpareo će odmah proslijediti svaki zahtjev ispitanika koji mu je zaprimljen kontroloru obrade.
• Obavijesti u skladu s odredbama 7.7 i 9.2 šalju se e-poštom na korisnički račun klijenta i na adresu e-pošte koju je dobavljač naveo prilikom dijeljenja. Kontaktna osoba u skladu s odredbom 9.2(b) je privacy@mail.transpareo.com.
• Obavijest prema odredbi 9.2 mora također navesti vrijeme povrede i njezino otkrivanje, kao i pogođena područja rada ili poveznice.

Švicarski dodatak

Ovaj dodatak čini daljnju klauzulu koja slijedi Klauzulu 2(b). U mjeri u kojoj je obrada podložna Švicarskom saveznom zakonu o zaštiti podataka (DSG):

1. reference na Uredbu (EU) 2016/679 smatraju se i reference na odgovarajuće odredbe DSG-a, naime članka 28. GDPR-a na članak 9. DSG-a, članka 32. do članka 8., članci 33. i 34. na članak 24., članci 35. i 36. na članke 22. i 23., Poglavlje V na članke od 16. do 18., prava ispitanika na članke od 25. do 32. DSG-a i osjetljivi podaci prema odredbi 7.5 na osobne podatke koji zahtijevaju posebnu zaštitu prema članku 5. točki c) DSG-a;
2. nadležno nadzorno tijelo je Savezni povjerenik za zaštitu podataka i informiranje (FDPIC); nadležnost nadzornih tijela prema Uredbi ostaje nepromijenjena;
3. švicarsko pravo također se smatra pravom države članice.

Stanje na dan: 8. listopada 2026.