Ugovor o obradi podataka (DPA)

1. Predmet i svrha Ugovora

Predmet ovog DPA-a je uređenje prava i obveza strana u vezi s obradom osobnih podataka koju izvršitelj obrade provodi u ime voditelja obrade prilikom pružanja ERP usluge Niko OS, uključujući pohranu, obradu i sigurnosnu zaštitu podataka unesenih u aplikaciju.

2. Definicije

Pojmovi „osobni podaci”, „obrada”, „voditelj obrade”, „izvršitelj obrade”, „podizvršitelj” i „povreda osobnih podataka” imaju značenje definirano člankom 4. GDPR-a. „Voditelj obrade” u ovom dokumentu označava Korisnika (tvrtku koja koristi Uslugu i određuje svrhu i sredstva obrade podataka svojih zaposlenika i kupaca), a „izvršitelj obrade” pružatelja usluge Niko OS.

3. Trajanje obrade

Obrada traje za vrijeme trajanja korisničkog računa Korisnika, tj. dok Korisnik koristi Uslugu, te se okončava prestankom ugovornog odnosa i brisanjem ili vraćanjem podataka sukladno odjeljku 13.

4. Priroda, svrha i vrste podataka

Izvršitelj obrade obrađuje osobne podatke isključivo u svrhu pružanja, održavanja i tehničke podrške ERP usluge Niko OS. Vrste podataka mogu uključivati: identifikacijske i kontaktne podatke zaposlenika/korisnika Korisnika (ime, prezime, email, radna uloga), podatke o poslovnim partnerima/kupcima Korisnika unesene u module aplikacije (npr. kontakti, računi) te tehničke podatke o korištenju sustava. Kategorije ispitanika: zaposlenici i suradnici Korisnika, te kupci/dobavljači Korisnika čiji podaci se unose u Uslugu.

5. Obveze izvršitelja obrade

• obrađuje osobne podatke isključivo prema dokumentiranim uputama voditelja obrade (uključujući putem korištenja funkcionalnosti Usluge), osim kada je obrada propisana pravom EU-a ili Republike Hrvatske;
• osigurava da su osobe ovlaštene za obradu podataka obvezane na povjerljivost;
• provodi odgovarajuće tehničke i organizacijske mjere sigurnosti opisane u odjeljku 8;
• poštuje uvjete za angažiranje podizvršitelja opisane u odjeljku 7;
• pruža razumnu pomoć voditelju obrade pri ispunjavanju zahtjeva ispitanika (odjeljak 9) i obveza iz čl. 32.–36. GDPR-a;
• obavještava voditelja obrade o povredi osobnih podataka bez nepotrebnog odgađanja (odjeljak 10);
• po prestanku pružanja Usluge, briše ili vraća sve osobne podatke sukladno odjeljku 13;
• stavlja voditelju obrade na raspolaganje informacije potrebne za dokazivanje usklađenosti s ovim člankom te omogućava razumne revizije (odjeljak 11).

6. Obveze voditelja obrade

• osigurava da postoji valjana pravna osnova za sve osobne podatke koje unosi ili obrađuje putem Usluge, uključujući podatke svojih zaposlenika i kupaca;
• daje izvršitelju obrade zakonite i jasne upute za obradu (putem uporabe Usluge sukladno njezinoj namjeni);
• odgovoran je za točnost, ažurnost i zakonitost podataka koje unosi u sustav;
• samostalno ispunjava vlastite obveze prema svojim zaposlenicima/kupcima kao ispitanicima (npr. informiranje o obradi njihovih podataka).

7. Podobrada — popis podizvoditelja

Voditelj obrade daje opće odobrenje za angažiranje sljedećih podizvršitelja (podobrađivača), koji su nužni za pružanje Usluge. Izvršitelj obrade obavijestit će voditelja obrade o svakoj namjeravanoj promjeni (dodavanju ili zamjeni) podizvršitelja putem obavijesti na ovoj stranici ili emailom, čime voditelj obrade ima priliku uložiti prigovor u razumnom roku.

Izvršitelj obrade osigurava da su s podizvršiteljima sklopljeni ugovori kojima se nameću iste ili strože obveze zaštite podataka kao u ovom DPA-u.

8. Sigurnosne mjere

Izvršitelj obrade primjenjuje sljedeće tehničke i organizacijske mjere: enkripciju prometa (HTTPS/TLS), sustav uloga i razina pristupa unutar aplikacije, pohranu lozinki isključivo u hashiranom obliku, evidenciju/audit trag ključnih radnji te redovite sigurnosne kopije baze podataka putem infrastrukture Neon. Mjere se s vremenom mogu unaprjeđivati radi praćenja razvoja tehnologije i rizika, bez smanjenja postojeće razine zaštite.

9. Pomoć pri ostvarivanju prava ispitanika

Uzimajući u obzir prirodu obrade, izvršitelj obrade pomoći će voditelju obrade odgovarajućim tehničkim i organizacijskim mjerama (npr. funkcijama izvoza ili brisanja podataka unutar aplikacije ili putem podrške na support@niko.com.hr) u ispunjavanju obveze voditelja obrade da odgovori na zahtjeve ispitanika za ostvarivanje njihovih prava iz poglavlja III. GDPR-a.

10. Prijava povrede osobnih podataka

Izvršitelj obrade obavijestit će voditelja obrade bez nepotrebnog odgađanja nakon što sazna za povredu osobnih podataka koja se odnosi na podatke obrađivane u okviru ove Usluge, s dostupnim informacijama potrebnim voditelju obrade da ispuni vlastite obveze prijave nadzornom tijelu (AZOP) i, prema potrebi, obavještavanja pogođenih ispitanika sukladno člancima 33. i 34. GDPR-a.

11. Revizije i nadzor

Izvršitelj obrade stavlja voditelju obrade na raspolaganje sve informacije razumno potrebne za dokazivanje usklađenosti s ovim DPA-om te omogućuje i doprinosi revizijama, uključujući inspekcije koje provodi voditelj obrade ili drugi revizor kojeg on ovlasti, uz razuman prethodni pisani zahtjev, u mjeri u kojoj to ne ugrožava sigurnost drugih korisnika Usluge ili poslovne tajne izvršitelja obrade.

12. Prijenos podataka izvan EGP-a

Baza podataka (Neon) i infrastruktura API-ja (Render) nalaze se unutar Europske unije. Pružatelj usluge transakcijske e-pošte (Resend) može podatke obrađivati izvan Europskog gospodarskog prostora, u kojem slučaju se prijenos temelji na standardnim ugovornim klauzulama (SCC) Europske komisije ili drugom valjanom mehanizmu iz poglavlja V. GDPR-a. Izvršitelj obrade obvezuje se ažurirati ovaj odjeljak čim se potvrdi točna regija obrade za Resend.

13. Brisanje ili povrat podataka po prestanku

Po prestanku pružanja Usluge (raskidom ugovora ili brisanjem računa), izvršitelj obrade će, prema izboru voditelja obrade, omogućiti izvoz podataka i/ili izbrisati sve osobne podatke obrađivane u ime voditelja obrade, osim ako je daljnja pohrana zakonski obvezna (npr. računovodstveni propisi). Zahtjev se podnosi na support@niko.com.hr.

14. Odgovornost

Odgovornost strana za povrede ovog DPA-a uređena je sukladno odredbama o ograničenju odgovornosti iz Općih uvjeta korištenja, u mjeri u kojoj takvo ograničenje nije isključeno prisilnim propisima o zaštiti podataka.

15. Mjerodavno pravo i rješavanje sporova

Na ovaj DPA primjenjuje se pravo Republike Hrvatske i odredbe o rješavanju sporova iz Pravnih informacija.

16. Stupanje na snagu i izmjene

Ovaj DPA stupa na snagu danom registracije korisničkog računa, odnosno danom objave na ovoj stranici za postojeće korisnike. Izmjene se objavljuju na ovoj stranici s ažuriranom oznakom verzije i datumom.