Pogodba o obdelavi podatkov

1. Pogodbeni stranki in predmet

To pogodbo skleneta stranka kot upravljavec in EAS International, Klybeckstr. 141, 4057 Basel, Schweiz kot obdelovalec (ponudnik). Predstavnik ponudnika v EU v skladu s členom 27 GDPR: Urs Zimmermann, Eichacker 2, 79418 Schliengen, Germany.

Predmet je obdelava osebnih podatkov, ki jih stranka vnese v Batteriepass Online ali zbira prek te storitve. Vrsta, namen, vrste podatkov in kategorije posameznikov, na katere se nanašajo osebni podatki, so opisani v Prilogi 1. Pogodba velja ves čas trajanja pogodbe o storitvah, vključno s fazo samo za branje iz točke 8 pogojev.

2. Navodila

Ponudnik obdeluje podatke izključno v okviru pogodbe o storitvah in na podlagi dokumentiranih navodil stranke. Stranka daje navodila z uporabo funkcij programske opreme (na primer z objavo potnega lista, dodelitvijo ravni dostopa, pošiljanjem zahteve dobavitelju, izvozom, izbrisom) ter v besedilni obliki na info@batteriepass-online.eu. Navodila zunaj dogovorjenega obsega se obravnavajo kot zahteve za spremembe in se lahko zaračunajo posebej.

Če ponudnik meni, da je navodilo nezakonito, o tem nemudoma obvesti stranko in lahko izvedbo zadrži do potrditve.

Dajanje vsebine potnih listov na voljo javnosti, osebam z upravičenim interesom in organom poteka v skladu z Uredbo (EU) 2023/1542 v konfiguraciji, ki jo je izbrala stranka, in se šteje za navodilo stranke.

3. Obveznosti ponudnika

• Zaupnost: vse osebe, vključene v obdelavo, so zavezane k zaupnosti. Do podatkov stranke se dostopa samo, kolikor je to potrebno za delovanje, podporo ali odpravljanje napak.
• Varnost: ponudnik izvaja tehnične in organizacijske ukrepe iz Priloge 3 in jih prilagaja najnovejšemu tehnološkemu razvoju, ne da bi znižal raven zaščite.
• Pomoč: ponudnik stranki s sredstvi programske opreme (izvoz, popravek, izbris, dnevnik dostopov) pomaga pri izpolnjevanju pravic posameznikov, na katere se nanašajo osebni podatki, ter pri ocenah učinka v zvezi z varstvom podatkov in posvetovanjih z nadzornim organom, kolikor so informacije na voljo ponudniku.
• Uradno obveščanje: ponudnik stranko o kršitvah varnosti osebnih podatkov, ki zadevajo podatke stranke, obvesti brez nepotrebnega odlašanja, najpozneje v 48 urah po seznanitvi, na e-poštni naslov, shranjen v računu, z informacijami, ki so na voljo v skladu s členom 33(3) GDPR.
• Zahteve posameznikov: če se posamezniki, na katere se nanašajo osebni podatki, obrnejo neposredno na ponudnika, ta zahtevo posreduje stranki brez lastnega vsebinskega odgovora, kolikor se zahteva nanaša na podatke stranke.
• Dokazila: ponudnik na zahtevo da na voljo informacije, potrebne za dokazovanje skladnosti s to pogodbo, zlasti opis ukrepov iz Priloge 3 in poročila o varnostnih incidentih.
• Izbris: po koncu obdelave ponudnik podatke izbriše v skladu s točko 8 pogojev, razen če obstaja zakonska obveznost hrambe. Za objavljene potne liste baterij se zakonska obveznost ohranjanja dostopnosti v skladu s členom 77(8) Uredbe (EU) 2023/1542 šteje za obveznost hrambe.

4. Pravice stranke do nadzora

Stranka lahko spoštovanje te pogodbe preveri enkrat letno in ob konkretnem povodu. Preverjanje poteka predvsem s pregledom dokumentacije, poročil in potrdil podobdelovalcev. Pregled na kraju samem je mogoč po najavi z ustreznim rokom (vsaj 14 dni) med običajnim delovnim časom, če s tem niso ogroženi podatki drugih strank. Za preglede, ki presegajo enega na leto ali jih ni sprožil incident, lahko ponudnik nastali strošek zaračuna po primerni tarifi.

5. Podobdelovalci

Stranka soglaša z vključitvijo podobdelovalcev, navedenih v Prilogi 2. Ponudnik jih zaveže k obveznostim varstva podatkov, enakovrednim tukaj dogovorjenim.

Ponudnik stranko o nameravanih spremembah (dodajanju ali zamenjavi) obvesti vsaj 30 dni vnaprej po e-pošti. Stranka lahko v tem roku iz pomembnih razlogov varstva podatkov ugovarja. V primeru ugovora lahko vsaka pogodbena stranka odpove pogodbo o storitvah z učinkom od datuma spremembe; točka 8 pogojev ostane nespremenjena.

6. Obdelava v tretjih državah

Podatki so shranjeni na strežnikih v Nemčiji. Ponudnik ima sedež v Švici, za katero obstaja sklep Evropske komisije o ustreznosti; dostop iz Švice je zato dovoljen. Obdelava v drugih tretjih državah poteka samo s soglasjem stranke in na podlagi ustreznih zaščitnih ukrepov v skladu s poglavjem V GDPR.

7. Obveznosti stranke

Stranka je odgovorna za zakonitost obdelave, zlasti za pravno podlago za objavo informacij o fizičnih osebah v potnih listih, za obveščanje posameznikov, na katere se nanašajo osebni podatki, ter za zakonitost vzpostavljanja stika z dobavitelji in vlagatelji zahtev. Ravni dostopa in odobritve dostopa dodeljuje na lastno odgovornost in preverja, ali so podatki, dani na voljo prek programske opreme, v skladu z zakonskimi zahtevami.

Stranka v računu navede e-poštni naslov, dosegljiv za vprašanja varstva podatkov, in ga sproti posodablja.

8. Odgovornost, trajanje, končne določbe

Za odgovornost se uporablja točka 11 pogojev; člen 82 GDPR ostane nespremenjen. Ta pogodba preneha s pogodbo o storitvah, vendar velja naprej, dokler ponudnik ohranja podatke stranke dostopne v skladu s točko 8 pogojev. Sicer se uporabljajo končne določbe pogojev. V primeru nasprotij med to pogodbo in pogoji ima pri vprašanjih varstva podatkov prednost ta pogodba.

Priloga 1 – Predmet obdelave

• Vrsta in namen: gostovanje, shranjevanje, prikaz, izvoz in prenos vsebine potnih listov baterij in povezanih dokumentov; pošiljanje e-poštnih sporočil v imenu stranke (zahteve dobaviteljem, odločitve o dostopu); beleženje dostopov do zaščitene vsebine; zagotavljanje API in webhookov.
• Vrste podatkov: imena, funkcije in kontaktni podatki kontaktnih oseb stranke, njenih dobaviteljev in vlagateljev zahtev za odobritev dostopa (e-poštni naslov, organizacija, vloga, namen, dokazila); vsebina polj potnih listov in dokumentov, kolikor vsebujejo informacije o fizičnih osebah (na primer odgovorna oseba gospodarskega subjekta, podpisniki izjav EU o skladnosti); dnevniki dostopov (skrajšan zgoščen naslov IP, user agent, čas, raven dostopa); podatki, ki jih stranka posreduje API.
• Kategorije posameznikov, na katere se nanašajo osebni podatki: zaposleni in kontaktne osebe stranke, njenih dobaviteljev in poslovnih partnerjev; osebe, ki zahtevajo dostop do zaščitene vsebine potnih listov (organi, subjekti za popravila in recikliranje, kupci); obiskovalci javnih strani potnih listov.
• Posebne vrste osebnih podatkov (člen 9 GDPR) niso predmet obdelave; stranka takih podatkov ne vnaša v programsko opremo.

Priloga 2 – Podobdelovalci

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Nemčija – storitve podatkovnega centra (strežniki, podatkovna zbirka, shramba dokumentov, varnostne kopije) v Falkensteinu in Nürnbergu.
• STRATO GmbH, Otto-Ostrowski-Str. 7, 10249 Berlin, Nemčija – pošiljanje e-poštnih sporočil v imenu stranke.
• Stripe Payments Europe Ltd., Dublin, Irska, obdeluje plačilne podatke stranke kot samostojni upravljavec in ni podobdelovalec za podatke stranke v smislu te pogodbe.

Priloga 3 – Tehnični in organizacijski ukrepi

• Fizični dostop in dostop do sistemov: strežniki v podatkovnih centrih Hetzner, certificiranih po ISO 27001; upravljanje samo prek SSH s ključi in zasebnega omrežja; podatkovna zbirka ni dosegljiva z javnega interneta.
• Dostop do podatkov: pooblastila na podlagi vlog (lastnik, urednik, bralec) za vsako organizacijo; ločevanje najemnikov na ravni podatkovne zbirke prek ID organizacije v vsaki poizvedbi; ravni dostopa do vsebine potnih listov (javnost, upravičeni interes, organ) se izvajajo na strani strežnika v enotni funkciji filtriranja.
• Avtentikacija: gesla kot zgoščene vrednosti scrypt; seje z naključnimi žetoni v podatkovni zbirki, 30 dni; potrditev e-poštnega naslova pred pravico pisanja; omejitve poskusov prijave, registracije in ponastavitve; ključi API shranjeni samo kot zgoščene vrednosti.
• Prenos: TLS za vse povezave; Content Security Policy; podpisani webhooki (HMAC) s šifrirano shranjenimi skrivnostmi.
• Celovitost: vsaka objava potnega lista ustvari različico z verigo zgoščenih vrednosti (prejšnja zgoščena vrednost); revizijska sled vseh pisalnih dejanj; nič se fizično ne izbriše pred iztekom pogodbenih rokov.
• Razpoložljivost: dnevna varnostna kopija podatkovne zbirke in shrambe dokumentov s hrambo vsaj 30 dni na drugi lokaciji; redni preizkusi obnovitve; spremljanje razpoložljivosti.
• Ločevanje: produkcijski podatki ločeni od razvojnega in testnega okolja; potni listi v paketu Pilot so označeni kot testni podatki.
• Organizacija: najmanjši obseg podatkov, vgrajen v programsko opremo (samo polja, potrebna za potni list); varnostni pregled pri vsaki spremembi storitve; dokumentiranje incidentov; redne posodobitve sistemskih komponent.