Ugovor o obradi podataka

Ovaj Ugovor o obradi podataka ("UOP") sklapa se između kupca koji koristi usluge statycs-a na temelju valjanog ugovora o usluzi ("Voditelj obrade") i statycs GmbH, FN 613704g, Liechtensteinstrasse 59, 1090 Beč, Austrija ("Izvršitelj obrade").

Ovaj UOP uređuje obradu osobnih podataka koju statycs provodi u ime Voditelja obrade u vezi sa statycs SaaS platformom za financijsko planiranje i analizu. Stupa na snagu kada Voditelj obrade prihvati Uvjete i odredbe ili na drugi način sklopi ugovor o usluzi sa statycs-om, te ostaje na snazi sve dok statycs obrađuje osobne podatke u ime Voditelja obrade. U slučaju sukoba između ovog UOP-a i drugih ugovornih odredbi, ovaj UOP ima prednost u pogledu pitanja zaštite podataka.

Predmet obrade. Obrada osobnih podataka koja je nužna kako bi statycs pružao Voditelju obrade svoju platformu za financijsko planiranje i analizu.

Trajanje obrade. Za razdoblje trajanja temeljnog ugovora o usluzi, uključujući razdoblje okončanja i brisanja iz §11 u nastavku.

statycs obrađuje osobne podatke kako bi Voditelju obrade pružio svoju platformu za financijsko planiranje i analizu. U ovom UOP-u "sadržaj kupca" znači podatke koje Voditelj obrade učitava na platformu te izvještaje, planove i druge rezultate nastale iz njih. Obrada uključuje prikupljanje, pohranu, organizaciju, strukturiranje, dohvaćanje, uvid, korištenje i brisanje podataka, u mjeri u kojoj je to potrebno za pružanje usluge.

Obrada se provodi isključivo na temelju dokumentiranih uputa Voditelja obrade. Te upute uključuju izradu agregirane, anonimizirane statistike i industrijskih referentnih vrijednosti; nakon anonimizacije ti rezultati više nisu osobni podaci i izlaze iz područja primjene ovog UOP-a. statycs neće obrađivati osobne podatke ni u koju drugu svrhu osim pružanja dogovorene usluge, osim ako to ne zahtijeva pravo EU-a ili austrijsko pravo. U tom će slučaju statycs obavijestiti Voditelja obrade o zakonskom zahtjevu prije obrade, osim ako zakon zabranjuje takvu obavijest.

Kategorije osobnih podataka. Mogu se obrađivati sljedeće vrste osobnih podataka: imena, adrese e-pošte, telefonski brojevi, radna mjesta, pripadnost tvrtki, IP adrese, podaci o pregledniku i uređaju te svi drugi osobni podaci koje Voditelj obrade unese u platformu. Financijski podaci učitani na platformu - poput računovodstvenih zapisa, izvještaja i planova - mogu sadržavati osobne podatke u mjeri u kojoj ih Voditelj obrade uključi.

Kategorije ispitanika. Ispitanici mogu uključivati zaposlenike, izvođače, klijente, dobavljače, investitore Voditelja obrade i sve druge fizičke osobe čije osobne podatke Voditelj obrade obrađuje putem platforme.

Voditelj obrade je voditelj obrade podataka u skladu s GDPR-om i isključivo je odgovoran za osiguravanje zakonitosti obrade osobnih podataka, uključujući postojanje valjane pravne osnove kako za samu obradu, tako i za prijenos podataka statycs-u.

Voditelj obrade odgovoran je za točnost, kvalitetu i zakonitost osobnih podataka dostavljenih statycs-u te za usklađenost sa svim primjenjivim zakonima o zaštiti podataka, uključujući obavještavanje ispitanika o obradi njihovih podataka.

statycs se obvezuje:

• Obrađivati osobne podatke samo na temelju dokumentiranih uputa Voditelja obrade, osim ako zakon ne nalaže drugačije
• Osigurati da su sve osobe ovlaštene za obradu osobnih podataka obvezane pisanim obvezama povjerljivosti
• Provoditi odgovarajuće tehničke i organizacijske mjere kako bi se osigurala razina sigurnosti primjerena riziku
• Pomoći Voditelju obrade u odgovaranju na zahtjeve ispitanika u skladu s člancima 15. do 22. GDPR-a
• Pomoći Voditelju obrade pri usklađivanju s člancima 32. do 34. GDPR-a, procjenama učinka na zaštitu podataka i prethodnim savjetovanjima s nadzornim tijelima, uzimajući u obzir prirodu obrade i informacije dostupne statycs-u
• Obavijestiti Voditelja obrade bez nepotrebnog odgađanja nakon što sazna za povredu osobnih podataka
• Po izboru Voditelja obrade, izbrisati ili mu vratiti sve osobne podatke po prestanku ugovora o usluzi, osim ako zakon nalaže njihovo čuvanje
• Odmah obavijestiti Voditelja obrade ako, prema mišljenju statycs-a, uputa krši GDPR ili drugi primjenjivi zakon o zaštiti podataka

statycs ispunjava obveze revizije iz čl. 28. st. 3. t. (h) GDPR-a tako što na razuman pisani zahtjev i ne češće od jednom u dvanaest mjeseci dostavlja svoj aktualni sažetak sigurnosti, popis podizvršitelja obrade i pisane odgovore na razuman upitnik Voditelja obrade. Osim toga, Voditelj obrade - ili neovisni revizor kojeg ovlasti uz obvezu povjerljivosti - može provesti reviziju na licu mjesta ne češće od jednom svaka dvadeset i četiri mjeseca, ili bilo kada nakon naloga nadzornog tijela ili utemeljene sumnje na povredu. Revizije na licu mjesta provode se o trošku Voditelja obrade, uz pisanu obavijest trideset dana unaprijed, tijekom radnog vremena, uz opseg, vrijeme i povjerljivost dogovorene u pisanom obliku unaprijed.

statycs pri pružanju usluge angažira sljedeće pružatelje. Hetzner, Cloudflare i Hanko obrađuju osobne podatke u ime Voditelja obrade i podizvršitelji su obrade u smislu čl. 28. GDPR-a. PostHog i Stripe navedeni su radi transparentnosti; njihove su uloge navedene uz pojedinu stavku. Voditelj obrade ovime daje statycs-u opće pisano odobrenje, u smislu čl. 28. st. 2. GDPR-a i podložno odredbama ovog odjeljka, za angažiranje podizvršitelja obrade navedenih u nastavku te za njihovu promjenu.

• Hetzner (Hetzner Online GmbH, Njemačka) - hosting
• Cloudflare (Cloudflare, Inc., SAD) - isporuka sadržaja, TLS terminacija i zaštita od botova za app.statycs.com
• Hanko (Hanko GmbH, Njemačka) - autentifikacija
• PostHog (PostHog Inc., SAD; PostHog Cloud EU s poslužiteljima u Njemačkoj) - analitika proizvoda. statycs određuje svrhe svoje analitike proizvoda i za nju je voditelj obrade, pa PostHog za tu aktivnost djeluje kao izvršitelj obrade samog statycs-a, a ne kao podizvršitelj obrade Voditelja obrade
• Stripe (Stripe Payments Europe Ltd., Irska; Stripe, LLC, SAD) - obrada plaćanja i naplata pretplate. Pri izvršavanju plaćanja i ispunjavanju vlastitih regulatornih obveza Stripe djeluje kao samostalni voditelj obrade te se ovdje navodi radi transparentnosti, a ne kao podizvršitelj obrade Voditelja obrade

statycs osigurava da su svi podizvršitelji obrade obvezani pisanim ugovorima koji nameću istovjetne obveze zaštite podataka. Voditelj obrade bit će obaviješten o svim namjeravanim promjenama podizvršitelja obrade najmanje trideset dana unaprijed. Voditelj obrade može iz opravdanih razloga uložiti prigovor na novog podizvršitelja obrade u roku od četrnaest dana od obavijesti. Ako se prigovor ne može riješiti, Voditelj obrade može raskinuti ugovor s učinkom na datum stupanja promjene podizvršitelja obrade na snagu, a statycs će razmjerno vratiti unaprijed plaćene naknade za neiskorišteni dio razdoblja.

Sadržaj kupca - financijski podaci, izvještaji i planovi učitani na platformu - pohranjuje se, uključujući i njegove sigurnosne kopije, isključivo na poslužiteljima unutar Europske unije. Hosting pruža Hetzner (Njemačka), a autentifikaciju Hanko (Njemačka). Analitika proizvoda radi na PostHog Cloud EU (Njemačka), koji prima događaje o korištenju, ali nikada sadržaj kupca.

Tri stvari izlaze iz tog okvira. Podatke o plaćanju i naplati obrađuje Stripe, koji upravlja infrastrukturom u Sjedinjenim Američkim Državama. Cloudflare obavlja TLS terminaciju za app.statycs.com, pa promet u prijenosu može prolaziti kroz lokacije izvan Europske unije, iako se sadržaj kupca ondje ne pohranjuje. Osim toga, nekoliko pružatelja, među njima Cloudflare i PostHog, pod kontrolom je matičnih društava sa sjedištem u SAD-u, pa pristup radi podrške ili administracije iz zemalja izvan EGP-a ostaje moguć i kada se poslužitelji nalaze u Europi. statycs sva tri slučaja smatra prijenosima u smislu Poglavlja V. GDPR-a.

Za te se prijenose statycs oslanja na Standardne ugovorne klauzule EU-a koje je donijela Europska komisija, dopunjene prema potrebi dodatnim tehničkim i organizacijskim mjerama, te, ako je primatelj certificiran, na odluku Europske komisije o primjerenosti od 10. srpnja 2023. koja se odnosi na Okvir EU-a i SAD-a za zaštitu podataka. statycs periodično preispituje pravni okvir zemalja primateljica, uključujući i to jesu li odluke o primjerenosti na koje se oslanja i dalje na snazi. Primjerak zaštitnih mjera dostupan je na zahtjev na [email protected].

statycs provodi odgovarajuće tehničke i organizacijske mjere za zaštitu osobnih podataka, uključujući:

• Enkripciju podataka u prijenosu (TLS) i u mirovanju
• Kontrole pristupa temeljene na ulogama prema načelu najmanjih ovlasti
• Višefaktorsku autentifikaciju za interne sustave
• Periodičke sigurnosne preglede primjerene prirodi i opsegu obrade, uključujući povremeno testiranje treće strane
• Automatizirane postupke sigurnosne pohrane podataka i oporavka od katastrofa
• Bilježenje i praćenje pristupa osobnim podacima
• Osposobljavanje zaposlenika za svijest o sigurnosti

Aktualni opis tehničkih i organizacijskih mjera dostupan je na zahtjev na [email protected].

statycs će bez nepotrebnog odgađanja obavijestiti Voditelja obrade nakon što sazna za bilo koju povredu osobnih podataka. Čl. 33. st. 2. GDPR-a ne postavlja nikakav prag rizika za obavijest izvršitelja obrade voditelju obrade, pa ga ne primjenjuje ni statycs.

Obavijest će uključivati, u mjeri u kojoj je poznato: prirodu povrede, kategorije i približan broj pogođenih ispitanika, vjerojatne posljedice, poduzete ili predložene mjere za rješavanje povrede i ublažavanje njezinih učinaka te kontaktnu točku ([email protected]) od koje Voditelj obrade može dobiti dodatne informacije.

statycs će surađivati s Voditeljem obrade i poduzeti razumne korake za pomoć u istrazi, obuzdavanju i otklanjanju povrede.

Odgovornost za obradu podataka u okviru ovog UOP-a uređena je Uvjetima i odredbama temeljnog ugovora o usluzi. Ništa u ovom UOP-u ne mijenja niti proširuje odredbe o odgovornosti dogovorene između stranaka.

Svaka je stranka odgovorna za štetu prouzročenu obradom kojom se krši GDPR, u skladu s člankom 82. GDPR-a. statycs je odgovoran samo za štetu prouzročenu obradom koja nije u skladu s obvezama posebno usmjerenim na izvršitelje obrade prema GDPR-u ili sa zakonitim uputama Voditelja obrade.

Ovaj UOP automatski prestaje po prestanku temeljnog ugovora o usluzi između Voditelja obrade i statycs-a, s time da ostaje na snazi u pogledu svih osobnih podataka koje statycs još drži u ime Voditelja obrade sve dok ti podaci ne budu vraćeni ili izbrisani u skladu s ovim odjeljkom.

Po prestanku, osobni podaci obrađeni u ime Voditelja obrade čuvaju se 30 dana. Tijekom tog razdoblja Voditelj obrade može izabrati hoće li mu statycs vratiti podatke, u strukturiranom, uobičajeno korištenom i strojno čitljivom obliku, ili ih izbrisati. Ako izbor izostane, statycs ih briše: iz aktivnih sustava po isteku 30 dana, a iz šifriranih sigurnosnih kopija tijekom sljedećeg ciklusa sigurnosnog kopiranja. statycs može čuvati osobne podatke i nakon tog razdoblja samo ako to nalaže pravo EU-a ili austrijsko pravo, o čemu će obavijestiti Voditelja obrade.

Ovaj se UOP uređuje austrijskim pravom. Isključivo mjesto nadležnosti je nadležni sud u Beču.

Ovaj se UOP objavljuje na više jezika. Engleska je verzija obvezujuća verzija i uređuje ugovor između strana. Sve ostale jezične verzije služe isključivo radi praktičnosti; u slučaju bilo kakvog odstupanja prevladava engleska verzija.