Ugovor o obradi podataka (AVV)

Ovaj ugovor o obradi podataka prema čl. 28 GDPR-a sklapa se između klijenta (dalje „voditelj obrade“) i

Timon Filipović, posluje pod nazivom „Percelia“
In der Breite 54, 79224 Umkirch, Njemačka
(dalje „izvršitelj obrade“ ili „Percelia“).

Ugovor je sastavni dio Općih uvjeta poslovanja. U pitanjima zaštite podataka u slučaju proturječja prednost ima ovaj ugovor.

• Predmet: obrada osobnih podataka koji Perceliji postanu dostupni pri provjeri web-stranica i web-aplikacija koje je naveo voditelj obrade.
• Trajanje: za vrijeme trajanja glavnog ugovora (Opći uvjeti).
• Vrsta i svrha: učitavanje provjeravanih stranica u pregledniku izvršitelja, izrada snimaka zaslona i isječaka koda, automatizirana i AI-podržana procjena, ljudska provjera nesigurnih nalaza, izrada izvještaja i izjave o sukladnosti, po želji ponavljajuće praćenje.

• Kategorije podataka: sadržaj vidljiv na provjeravanim stranicama ili sadržan u njihovu kodu (obično testni podaci), pristupni podaci testnih računa koje je dostavio voditelj obrade, kontaktni i računski podaci korisnika nadzorne ploče koje je naveo voditelj obrade.
• Ispitanici: zaposlenici i osobe za kontakt voditelja obrade te osobe čiji su podaci prikazani na provjeravanim stranicama.
• Posebne kategorije prema čl. 9 GDPR-a nisu predmet naloga. Voditelj obrade osigurava da su provjeravana područja popunjena testnim podacima i da se ne omogućuje pristup računima stvarnih korisnika.

Percelia obrađuje osobne podatke isključivo prema dokumentiranim uputama voditelja obrade, osim ako zakon nalaže drukčije. Narudžba, utvrđivanje opsega provjere i konfiguracija u nadzornoj ploči smatraju se standardnom uputom. Percelia bez odgode obavještava voditelja obrade ako smatra da uputa krši propise o zaštiti podataka.

Percelia obvezuje osobe uključene u obradu na povjerljivost prema čl. 28 st. 3 t. b, čl. 29 i čl. 32 st. 4 GDPR-a. To vrijedi i za vanjske stručnjake uključene u ljudsku provjeru.

• Povjerljivost: prava pristupa po ulogama, višefaktorska autentifikacija za administrativne račune, odvajanje podataka klijenata na razini baze pomoću row-level security, pohrana snimaka zaslona koja nije javno čitljiva i dostupna samo putem vremenski ograničenih, autentificiranih poveznica.
• Cjelovitost: šifriranje pri prijenosu (TLS 1.2+) i pri pohrani, šifrirana pohrana testnih pristupnih podataka bez mogućnosti čitanja putem sučelja, kontrola verzija i pregled koda.
• Bez učinka na sustave voditelja obrade: provjera koja aktivira obrasce blokira slanje i prekida zahtjeve koji pišu podatke; prijedlozi ispravaka provjeravaju se isključivo na kopiji stranice u okruženju izvršitelja.
• Dostupnost: rad i sigurnosne kopije u EU regijama, praćenje, definiran postupak odgovora na incidente.
• Provjera: redovita provjera mjera i ponovna procjena pri bitnim promjenama obrade.

Voditelj obrade daje opće odobrenje za uključivanje podizvršitelja navedenih u Izjavi o zaštiti podataka. Percelia najavljuje namjeravane promjene najmanje 30 dana unaprijed. Voditelj obrade može prigovoriti iz opravdanih razloga zaštite podataka; ako se usluga tada ne može pružiti, obje strane imaju pravo na izvanredni raskid. Percelia sa svakim podizvršiteljem sklapa ugovor s bitno usporedivim obvezama.

Percelia pomaže voditelju obrade u ispunjavanju prava ispitanika (čl. 12 do 22 GDPR-a) i obveza iz čl. 32 do 36 GDPR-a odgovarajućim tehničkim i organizacijskim mjerama. Percelia bez odgode, najkasnije u roku od 48 sati od saznanja, obavještava voditelja obrade o povredi osobnih podataka (čl. 33 GDPR-a) i dostavlja informacije potrebne za prijavu.

Nakon završetka obrade Percelia po izboru voditelja obrade vraća ili briše sve osobne podatke. Izvoz izvještaja i podataka o nalazima dostupan je 30 dana. Izuzeti su podaci za koje postoji zakonska obveza čuvanja. Brisanje se na zahtjev potvrđuje u tekstualnom obliku.

Percelia na zahtjev stavlja voditelju obrade na raspolaganje informacije potrebne za dokaz poštivanja obveza iz čl. 28 GDPR-a. Voditelj obrade može provoditi kontrole jednom godišnje ili povodom konkretnog razloga, u pravilu na temelju pisanih informacija i dokaza podizvršitelja. Provjere na licu mjesta moguće su uz najavu od najmanje 30 dana; troškove snosi voditelj obrade.

Ako Percelia prenosi osobne podatke u treće zemlje, to se temelji na odluci o primjerenosti (EU-US Data Privacy Framework, Provedbena odluka (EU) 2023/1795) ili na standardnim ugovornim klauzulama prema Provedbenoj odluci (EU) 2021/914 uz potrebne dodatne mjere. Bitan prijenos odnosi se na AI analizu u SAD-u; preneseni sadržaj ne koristi se za treniranje modela.

U vanjskom odnosu prema ispitanicima primjenjuje se čl. 82 GDPR-a, a u unutarnjem odnosu odredbe o odgovornosti iz Općih uvjeta. Primjenjuje se njemačko pravo, nadležan je Freiburg im Breisgau, Njemačka. Izmjene zahtijevaju tekstualni oblik.

Ovaj se ugovor dostavlja na prihvat pri narudžbi i na zahtjev je dostupan kao potpisani dokument. Upiti na hello@percelia.eu.