Ugovor o obradi podataka

Ovaj Ugovor o obradi podataka ("UOP") sklapa se između kupca koji koristi usluge statycs-a na temelju valjanog ugovora o usluzi ("Voditelj obrade") i statycs GmbH, FN 613704g, Liechtensteinstrasse 59, 1090 Beč, Austrija ("Izvršitelj obrade").

Ovaj UOP uređuje obradu osobnih podataka koju statycs provodi u ime Voditelja obrade u vezi sa statycs SaaS platformom za financijsko planiranje i analizu. Stupa na snagu kada Voditelj obrade prihvati Uvjete i odredbe ili na drugi način sklopi ugovor o usluzi sa statycs-om, te ostaje na snazi sve dok statycs obrađuje osobne podatke u ime Voditelja obrade. U slučaju sukoba između ovog UOP-a i drugih ugovornih odredbi, ovaj UOP ima prednost u pogledu pitanja zaštite podataka.

Predmet obrade. Obrada osobnih podataka koja je nužna kako bi statycs pružao Voditelju obrade svoju platformu za financijsko planiranje i analizu.

Trajanje obrade. Za razdoblje trajanja temeljnog ugovora o usluzi, uključujući razdoblje okončanja i brisanja iz §11 u nastavku.

statycs obrađuje osobne podatke kako bi Voditelju obrade pružio svoju platformu za financijsko planiranje i analizu. Obrada uključuje prikupljanje, pohranu, organizaciju, strukturiranje, dohvaćanje, uvid, korištenje i brisanje podataka, u mjeri u kojoj je to potrebno za pružanje usluge.

Obrada se provodi isključivo na temelju dokumentiranih uputa Voditelja obrade. statycs neće obrađivati osobne podatke ni u koju drugu svrhu osim pružanja dogovorene usluge, osim ako to ne zahtijeva pravo EU-a ili austrijsko pravo. U tom će slučaju statycs obavijestiti Voditelja obrade o zakonskom zahtjevu prije obrade, osim ako zakon zabranjuje takvu obavijest.

Kategorije osobnih podataka. Mogu se obrađivati sljedeće vrste osobnih podataka: imena, adrese e-pošte, telefonski brojevi, radna mjesta, pripadnost tvrtki, IP adrese, podaci o pregledniku i uređaju te svi drugi osobni podaci koje Voditelj obrade unese u platformu. Financijski podaci učitani na platformu - poput računovodstvenih zapisa, izvještaja i planova - mogu sadržavati osobne podatke u mjeri u kojoj ih Voditelj obrade uključi.

Kategorije ispitanika. Ispitanici mogu uključivati zaposlenike, izvođače, klijente, dobavljače, investitore Voditelja obrade i sve druge fizičke osobe čije osobne podatke Voditelj obrade obrađuje putem platforme.

Voditelj obrade je voditelj obrade podataka u skladu s GDPR-om i isključivo je odgovoran za osiguravanje zakonitosti obrade osobnih podataka, uključujući postojanje valjane pravne osnove kako za samu obradu, tako i za prijenos podataka statycs-u.

Voditelj obrade odgovoran je za točnost, kvalitetu i zakonitost osobnih podataka dostavljenih statycs-u te za usklađenost sa svim primjenjivim zakonima o zaštiti podataka, uključujući obavještavanje ispitanika o obradi njihovih podataka.

statycs se obvezuje:

• Obrađivati osobne podatke samo na temelju dokumentiranih uputa Voditelja obrade, osim ako zakon ne nalaže drugačije
• Osigurati da su sve osobe ovlaštene za obradu osobnih podataka obvezane pisanim obvezama povjerljivosti
• Provoditi odgovarajuće tehničke i organizacijske mjere kako bi se osigurala razina sigurnosti primjerena riziku
• Pomoći Voditelju obrade u odgovaranju na zahtjeve ispitanika u skladu s člancima 15. do 22. GDPR-a
• Pomoći Voditelju obrade pri usklađivanju s člancima 32. do 34. GDPR-a, procjenama učinka na zaštitu podataka i prethodnim savjetovanjima s nadzornim tijelima, uzimajući u obzir prirodu obrade i informacije dostupne statycs-u
• Obavijestiti Voditelja obrade bez nepotrebnog odgađanja nakon što sazna za povredu osobnih podataka
• Izbrisati ili vratiti sve osobne podatke Voditelju obrade po prestanku ugovora o usluzi, osim ako zakon nalaže njihovo čuvanje
• Odmah obavijestiti Voditelja obrade ako, prema mišljenju statycs-a, uputa krši GDPR ili drugi primjenjivi zakon o zaštiti podataka

statycs ispunjava obveze revizije iz čl. 28. st. 3. t. (h) GDPR-a tako što na razuman pisani zahtjev i ne češće od jednom u dvanaest mjeseci dostavlja svoj aktualni sažetak sigurnosti, popis izvršitelja obrade i pisane odgovore na razuman upitnik Voditelja obrade. Osim toga, Voditelj obrade - ili neovisni revizor kojeg ovlasti uz obvezu povjerljivosti - može provesti reviziju na licu mjesta ne češće od jednom svaka dvadeset i četiri mjeseca, ili bilo kada nakon naloga nadzornog tijela ili utemeljene sumnje na povredu. Revizije na licu mjesta provode se o trošku Voditelja obrade, uz pisanu obavijest trideset dana unaprijed, tijekom radnog vremena, uz opseg, vrijeme i povjerljivost dogovorene u pisanom obliku unaprijed.

statycs angažira sljedeće podizvršitelje obrade za pomoć u pružanju usluge:

• Google Analytics (Google LLC, SAD) - analitika
• PostHog (PostHog Inc., SAD; PostHog Cloud EU s poslužiteljima u Njemačkoj) - analitika proizvoda
• Hanko (Hanko GmbH, Njemačka) - autentifikacija
• Zero (Zero Inc., Finska) - CRM
• Hetzner (Hetzner Online GmbH, Njemačka) - hosting
• Chatwoot (Chatwoot Inc., SAD) - chat uživo za posjetitelje web-mjesta, ne za korisnike aplikacije

statycs osigurava da su svi podizvršitelji obrade obvezani pisanim ugovorima koji nameću istovjetne obveze zaštite podataka. Voditelj obrade bit će obaviješten o svim namjeravanim promjenama podizvršitelja obrade najmanje trideset dana unaprijed. Voditelj obrade može iz opravdanih razloga uložiti prigovor na novog podizvršitelja obrade u roku od četrnaest dana od obavijesti. Ako se prigovor ne može riješiti, Voditelj obrade može raskinuti ugovor s učinkom na datum stupanja promjene podizvršitelja obrade na snagu, a statycs će razmjerno vratiti unaprijed plaćene naknade za neiskorišteni dio razdoblja.

statycs pohranjuje i obrađuje podatke kupaca unutar Europske unije i Europskoga gospodarskog prostora. Kada se podaci moraju prenijeti podizvršiteljima obrade koji se nalaze izvan EU-a ili EGP-a - posebno u Sjedinjenim Američkim Državama - statycs osigurava da su uspostavljene odgovarajuće zaštitne mjere u skladu s Poglavljem V. GDPR-a.

Te zaštitne mjere uključuju Standardne ugovorne klauzule EU-a koje je usvojila Europska komisija te, gdje je primjenjivo, odluke o primjerenosti. statycs redovito procjenjuje pravni okvir zemalja primateljica kako bi osigurao trajnu usklađenost. Primjerak zaštitnih mjera dostupan je na zahtjev na [email protected].

statycs provodi odgovarajuće tehničke i organizacijske mjere za zaštitu osobnih podataka, uključujući:

• Enkripciju podataka u prijenosu (TLS) i u mirovanju
• Kontrole pristupa temeljene na ulogama prema načelu najmanjih ovlasti
• Višefaktorsku autentifikaciju za interne sustave
• Periodičke sigurnosne preglede primjerene prirodi i opsegu obrade, uključujući povremeno testiranje treće strane
• Automatizirane postupke sigurnosne pohrane podataka i oporavka od katastrofa
• Bilježenje i praćenje pristupa osobnim podacima
• Osposobljavanje zaposlenika za svijest o sigurnosti

Aktualni opis tehničkih i organizacijskih mjera dostupan je na zahtjev na [email protected].

statycs će bez nepotrebnog odgađanja obavijestiti Voditelja obrade nakon što sazna za povredu osobnih podataka koja će vjerojatno prouzročiti rizik za prava i slobode ispitanika.

Obavijest će uključivati, u mjeri u kojoj je poznato: prirodu povrede, kategorije i približan broj pogođenih ispitanika, vjerojatne posljedice, poduzete ili predložene mjere za rješavanje povrede i ublažavanje njezinih učinaka te kontaktnu točku ([email protected]) od koje Voditelj obrade može dobiti dodatne informacije.

statycs će surađivati s Voditeljem obrade i poduzeti razumne korake za pomoć u istrazi, obuzdavanju i otklanjanju povrede.

Odgovornost za obradu podataka u okviru ovog UOP-a uređena je Uvjetima i odredbama temeljnog ugovora o usluzi. Ništa u ovom UOP-u ne mijenja niti proširuje odredbe o odgovornosti dogovorene između stranaka.

Svaka je stranka odgovorna za štetu prouzročenu obradom kojom se krši GDPR, u skladu s člankom 82. GDPR-a. statycs je odgovoran samo za štetu prouzročenu obradom koja nije u skladu s obvezama posebno usmjerenim na izvršitelje obrade prema GDPR-u ili sa zakonitim uputama Voditelja obrade.

Ovaj UOP automatski prestaje po prestanku temeljnog ugovora o usluzi između Voditelja obrade i statycs-a.

Po prestanku, osobni podaci obrađeni u ime Voditelja obrade čuvaju se 30 dana, a zatim se trajno brišu, osim ako Voditelj obrade tijekom tog razdoblja zatraži povrat podataka u strukturiranom, uobičajeno korištenom obliku. statycs može čuvati osobne podatke i nakon tog razdoblja samo ako to nalaže pravo EU-a ili austrijsko pravo, o čemu će obavijestiti Voditelja obrade.

Ovaj se UOP uređuje austrijskim pravom. Isključivo mjesto nadležnosti je nadležni sud u Beču.