Ugovor o obradi podataka

1. Ugovorne strane i predmet

Ovaj ugovor sklapaju kupac kao voditelj obrade i EAS International, Klybeckstr. 141, 4057 Basel, Schweiz kao izvršitelj obrade (Pružatelj). Predstavnik Pružatelja u EU-u u skladu s člankom 27. GDPR-a: Urs Zimmermann, Eichacker 2, 79418 Schliengen, Germany.

Predmet je obrada osobnih podataka koje kupac unosi u Batteriepass Online ili prikuplja putem te usluge. Priroda, svrha, vrste podataka i kategorije ispitanika opisani su u Prilogu 1. Ugovor se primjenjuje tijekom trajanja ugovora o usluzi, uključujući fazu samo za čitanje iz točke 8. Uvjeta.

2. Upute

Pružatelj obrađuje podatke isključivo u okviru ugovora o usluzi i prema zabilježenim uputama kupca. Kupac daje upute korištenjem funkcija softvera (primjerice objavom putovnice, dodjelom razina pristupa, slanjem zahtjeva dobavljaču, izvozom, brisanjem) te u tekstualnom obliku na info@batteriepass-online.eu. Upute izvan ugovorenog opsega smatraju se zahtjevima za izmjenu i mogu se posebno naplatiti.

Ako Pružatelj smatra da je neka uputa nezakonita, o tome bez odgode obavještava kupca i može obustaviti njezino izvršenje do potvrde.

Stavljanje sadržaja putovnica na raspolaganje javnosti, osobama s legitimnim interesom i tijelima provodi se u skladu s Uredbom (EU) 2023/1542 u konfiguraciji koju je odabrao kupac i smatra se uputom kupca.

3. Obveze Pružatelja

• Povjerljivost: sve osobe uključene u obradu obvezane su na povjerljivost. Podacima kupca pristupa se samo kada je to potrebno za rad, podršku ili otklanjanje pogrešaka.
• Sigurnost: Pružatelj provodi tehničke i organizacijske mjere iz Priloga 3. i prilagođava ih najnovijim dostignućima bez smanjenja razine zaštite.
• Pomoć: Pružatelj pomaže kupcu sredstvima softvera (izvoz, ispravak, brisanje, zapisnik pristupa) u ispunjavanju prava ispitanika te pri procjenama učinka na zaštitu podataka i savjetovanjima s nadzornim tijelom, u mjeri u kojoj su informacije dostupne Pružatelju.
• Obavješćivanje: Pružatelj obavještava kupca o povredama osobnih podataka koje se odnose na podatke kupca bez nepotrebnog odgađanja, najkasnije u roku od 48 sati od saznanja, na adresu e-pošte pohranjenu u računu, s informacijama dostupnima u skladu s člankom 33. stavkom 3. GDPR-a.
• Zahtjevi ispitanika: ako se ispitanici izravno obrate Pružatelju, on zahtjev prosljeđuje kupcu bez vlastitog odgovora o meritumu, ako se zahtjev odnosi na podatke kupca.
• Dokazi: na zahtjev Pružatelj stavlja na raspolaganje informacije potrebne za dokazivanje usklađenosti s ovim ugovorom, osobito opis mjera iz Priloga 3. i izvješća o sigurnosnim incidentima.
• Brisanje: nakon završetka obrade Pružatelj briše podatke u skladu s točkom 8. Uvjeta, osim ako postoji zakonska obveza čuvanja. Za objavljene putovnice za baterije zakonska obveza držanja dostupnima u skladu s člankom 77. stavkom 8. Uredbe (EU) 2023/1542 smatra se obvezom čuvanja.

4. Prava kupca na provjeru

Kupac može provjeriti poštovanje ovog ugovora jednom godišnje te kada za to postoji konkretan povod. Provjera se prvenstveno provodi pregledom dokumentacije, izvješća i potvrda podizvršitelja obrade. Provjera na licu mjesta moguća je nakon najave uz primjeren rok (najmanje 14 dana) tijekom uobičajenog radnog vremena, ako se time ne ugrožavaju podaci drugih kupaca. Za provjere koje premašuju jednu godišnje ili nisu potaknute incidentom Pružatelj može naplatiti nastali trošak po primjerenoj stopi.

5. Podizvršitelji obrade

Kupac je suglasan s angažiranjem podizvršitelja obrade navedenih u Prilogu 2. Pružatelj ih obvezuje na obveze zaštite podataka jednakovrijedne onima ugovorenima ovdje.

Pružatelj obavještava kupca o namjeravanim promjenama (dodavanju ili zamjeni) najmanje 30 dana unaprijed e-poštom. Kupac u tom roku može uložiti prigovor iz važnih razloga povezanih sa zaštitom podataka. U slučaju prigovora svaka strana može raskinuti ugovor o usluzi s učinkom od datuma promjene; točka 8. Uvjeta ostaje nepromijenjena.

6. Obrada u trećim zemljama

Podaci se pohranjuju na poslužiteljima u Njemačkoj. Pružatelj ima poslovni nastan u Švicarskoj, za koju postoji odluka Europske komisije o primjerenosti; pristup iz Švicarske stoga je dopušten. Obrada u drugim trećim zemljama provodi se samo uz suglasnost kupca i na temelju odgovarajućih zaštitnih mjera u skladu s poglavljem V. GDPR-a.

7. Obveze kupca

Kupac je odgovoran za zakonitost obrade, osobito za pravnu osnovu za objavu informacija o fizičkim osobama u putovnicama, za informiranje ispitanika i za zakonitost kontaktiranja dobavljača i podnositelja zahtjeva. Razine pristupa i odobrenja pristupa dodjeljuje na vlastitu odgovornost i provjerava jesu li podaci stavljeni na raspolaganje putem softvera u skladu sa zakonskim zahtjevima.

Kupac u računu navodi adresu e-pošte dostupnu za pitanja zaštite podataka i ažurno je vodi.

8. Odgovornost, trajanje, završne odredbe

Na odgovornost se primjenjuje točka 11. Uvjeta; članak 82. GDPR-a ostaje nepromijenjen. Ovaj ugovor prestaje s ugovorom o usluzi, ali nastavlja vrijediti sve dok Pružatelj drži podatke kupca dostupnima u skladu s točkom 8. Uvjeta. U ostalome se primjenjuju završne odredbe Uvjeta. U slučaju proturječja između ovog ugovora i Uvjeta, u pitanjima zaštite podataka prednost ima ovaj ugovor.

Prilog 1. – Predmet obrade

• Priroda i svrha: hosting, pohrana, prikaz, izvoz i prijenos sadržaja putovnica za baterije i povezanih dokumenata; slanje poruka e-pošte u ime kupca (zahtjevi dobavljačima, odluke o pristupu); bilježenje pristupa zaštićenom sadržaju; pružanje API-ja i webhookova.
• Vrste podataka: imena, funkcije i kontaktni podaci kontaktnih osoba kupca, njegovih dobavljača i podnositelja zahtjeva za odobrenje pristupa (adresa e-pošte, organizacija, uloga, svrha, popratni dokumenti); sadržaj polja putovnica i dokumenata ako sadrže informacije o fizičkim osobama (primjerice odgovorna osoba gospodarskog subjekta, potpisnici EU izjava o sukladnosti); zapisnici pristupa (skraćena hashirana IP adresa, user agent, vrijeme, razina pristupa); podaci koje kupac dostavi API-ju.
• Kategorije ispitanika: zaposlenici i kontaktne osobe kupca, njegovih dobavljača i poslovnih partnera; osobe koje traže pristup zaštićenom sadržaju putovnica (tijela, subjekti za popravak i recikliranje, kupci); posjetitelji javnih stranica putovnica.
• Posebne kategorije osobnih podataka (članak 9. GDPR-a) nisu predmet obrade; kupac takve podatke ne unosi u softver.

Prilog 2. – Podizvršitelji obrade

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Njemačka – usluge podatkovnog centra (poslužitelji, baza podataka, pohrana dokumenata, sigurnosne kopije) u Falkensteinu i Nürnbergu.
• STRATO GmbH, Otto-Ostrowski-Str. 7, 10249 Berlin, Njemačka – slanje poruka e-pošte u ime kupca.
• Stripe Payments Europe Ltd., Dublin, Irska, obrađuje podatke o plaćanju kupca kao samostalni voditelj obrade i nije podizvršitelj obrade za podatke kupca u smislu ovog ugovora.

Prilog 3. – Tehničke i organizacijske mjere

• Fizički pristup i pristup sustavu: poslužitelji u podatkovnim centrima Hetzner certificiranima prema normi ISO 27001; administracija samo putem SSH-a s ključem i privatne mreže; baza podataka nije dostupna s javnog interneta.
• Pristup podacima: ovlasti temeljene na ulogama (vlasnik, urednik, čitatelj) po organizaciji; odvajanje klijenata na razini baze podataka putem ID-a organizacije u svakom upitu; razine pristupa sadržaju putovnica (javnost, legitimni interes, tijelo) provode se na strani poslužitelja u jedinstvenoj funkciji filtriranja.
• Autentifikacija: lozinke kao scrypt hashevi; sesije sa slučajnim tokenima u bazi podataka, 30 dana; potvrda adrese e-pošte prije prava pisanja; ograničenja pokušaja prijave, registracije i ponovnog postavljanja; API ključevi pohranjeni samo kao hashevi.
• Prijenos: TLS za sve veze; Content Security Policy; potpisani webhookovi (HMAC) sa šifrirano pohranjenim tajnama.
• Cjelovitost: svaka objava putovnice stvara verziju s lancem hasheva (prethodni hash); revizijski zapisnik svih radnji pisanja; ništa se fizički ne briše prije isteka ugovornih rokova.
• Dostupnost: dnevna sigurnosna kopija baze podataka i pohrane dokumenata s čuvanjem od najmanje 30 dana na drugoj lokaciji; redoviti testovi vraćanja; nadzor dostupnosti.
• Odvajanje: produkcijski podaci odvojeni od razvojnog i testnog okruženja; putovnice u paketu Pilot označene su kao testni podaci.
• Organizacija: smanjenje količine podataka ugrađeno u softver (samo polja potrebna za putovnicu); sigurnosna provjera pri svakoj promjeni usluge; dokumentiranje incidenata; redovita ažuriranja komponenti sustava.