Pogodba o obdelavi podatkov

Ta Pogodba o obdelavi podatkov (v nadaljevanju „DPA“) je sklenjena med stranko, ki uporablja storitve statycs na podlagi veljavne pogodbe o storitvah (v nadaljevanju „upravljavec“), in statycs GmbH, FN 613704g, Liechtensteinstrasse 59, 1090 Dunaj, Avstrija (v nadaljevanju „obdelovalec“).

Ta DPA ureja obdelavo osebnih podatkov s strani statycs v imenu upravljavca v povezavi s platformo SaaS statycs za finančno načrtovanje in analizo. Začne veljati, ko upravljavec sprejme Splošne pogoje poslovanja ali kako drugače sklene pogodbo o storitvah s statycs, in ostane v veljavi, dokler statycs obdeluje osebne podatke v imenu upravljavca. V primeru neskladja med to DPA in drugimi pogodbenimi določili ima ta DPA prednost glede zadev varstva podatkov.

Predmet obdelave. Obdelava osebnih podatkov, ki je potrebna, da statycs upravljavcu zagotavlja svojo platformo za finančno načrtovanje in analizo.

Trajanje obdelave. Za obdobje temeljne pogodbe o storitvah, vključno z morebitnim obdobjem zaključevanja in izbrisa iz §11 spodaj.

statycs obdeluje osebne podatke, da upravljavcu zagotovi svojo platformo za finančno načrtovanje in analizo. Obdelava vključuje zbiranje, shranjevanje, organiziranje, strukturiranje, priklic, vpogled, uporabo in izbris podatkov, kolikor je to potrebno za zagotavljanje storitve.

Obdelava se izvaja izključno na podlagi dokumentiranih navodil upravljavca. statycs osebnih podatkov ne bo obdeloval za noben drug namen kot za zagotavljanje dogovorjene storitve, razen če to zahteva pravo EU ali avstrijsko pravo. V tem primeru bo statycs upravljavca pred obdelavo obvestil o pravni zahtevi, razen če takšno obveščanje prepoveduje zakon.

Kategorije osebnih podatkov. Obdelujejo se lahko naslednje vrste osebnih podatkov: imena, e-poštni naslovi, telefonske številke, delovni nazivi, pripadnost podjetju, naslovi IP, podatki o brskalniku in napravi ter vsi drugi osebni podatki, ki jih upravljavec vnese v platformo. Finančni podatki, naloženi na platformo - kot so računovodski zapisi, poročila in načrti - lahko vsebujejo osebne podatke, kolikor jih vključi upravljavec.

Kategorije posameznikov, na katere se nanašajo podatki. Posamezniki, na katere se nanašajo podatki, lahko vključujejo zaposlene, pogodbenike, stranke, dobavitelje, investitorje upravljavca in vse druge fizične osebe, katerih osebne podatke upravljavec obdeluje prek platforme.

Upravljavec je upravljavec podatkov po GDPR in je izključno odgovoren za zagotavljanje zakonitosti obdelave osebnih podatkov, vključno z obstojem veljavne pravne podlage tako za samo obdelavo kot za prenos podatkov k statycs.

Upravljavec je odgovoren za točnost, kakovost in zakonitost osebnih podatkov, posredovanih statycs, ter za skladnost z vsemi veljavnimi predpisi o varstvu podatkov, vključno z obveščanjem posameznikov o obdelavi njihovih podatkov.

statycs se zavezuje, da bo:

• obdeloval osebne podatke le na podlagi dokumentiranih navodil upravljavca, razen če je z zakonom določeno drugače
• zagotovil, da so vse osebe, pooblaščene za obdelavo osebnih podatkov, zavezane s pisnimi obveznostmi zaupnosti
• izvajal ustrezne tehnične in organizacijske ukrepe za zagotovitev ravni varnosti, primerne tveganju
• pomagal upravljavcu pri odzivanju na zahteve posameznikov po členih 15 do 22 GDPR
• pomagal upravljavcu pri skladnosti s členi 32 do 34 GDPR, ocenah učinka v zvezi z varstvom podatkov in predhodnih posvetovanjih z nadzornimi organi, ob upoštevanju narave obdelave in informacij, ki so na voljo statycs
• brez nepotrebnega odlašanja obvestil upravljavca, takoj ko izve za kršitev varstva osebnih podatkov
• izbrisal ali vrnil vse osebne podatke upravljavcu ob prenehanju pogodbe o storitvah, razen če hrambo zahteva zakon
• nemudoma obvestil upravljavca, če po mnenju statycs kakšno navodilo krši GDPR ali drugo veljavno pravo o varstvu podatkov

statycs izpolnjuje obveznosti glede revizije po čl. 28(3)(h) GDPR tako, da na razumno pisno zahtevo in ne pogosteje kot enkrat na dvanajst mesecev zagotovi svoj trenutni varnostni povzetek, seznam podobdelovalcev in pisne odgovore na razumen vprašalnik upravljavca. Poleg tega lahko upravljavec - ali neodvisni revizor, ki ga pooblasti pod obveznostjo zaupnosti - opravi revizijo na kraju samem ne pogosteje kot enkrat na štiriindvajset mesecev ali kadar koli po pooblastilu nadzornega organa oziroma ob utemeljenem sumu kršitve. Revizije na kraju samem potekajo na stroške upravljavca, na podlagi tridesetdnevnega predhodnega pisnega obvestila, med delovnim časom, pri čemer so obseg, časovni razpored in zaupnost vnaprej pisno dogovorjeni.

statycs za pomoč pri zagotavljanju storitve angažira naslednje podobdelovalce:

• Google Analytics (Google LLC, ZDA) - analitika
• PostHog (PostHog Inc., ZDA; PostHog Cloud EU gostuje v Nemčiji) - analitika produkta
• Hanko (Hanko GmbH, Nemčija) - overjanje
• Zero (Zero Inc., Finska) - CRM
• Hetzner (Hetzner Online GmbH, Nemčija) - gostovanje
• Chatwoot (Chatwoot Inc., ZDA) - klepet v živo za obiskovalce spletnega mesta, ne za uporabnike aplikacije

statycs zagotavlja, da so vsi podobdelovalci zavezani s pisnimi pogodbami, ki nalagajo enakovredne obveznosti varstva podatkov. Upravljavec bo o vseh nameravanih spremembah podobdelovalcev obveščen vsaj trideset dni vnaprej. Upravljavec lahko novemu podobdelovalcu iz utemeljenih razlogov ugovarja v štirinajstih dneh od obvestila. Če ugovora ni mogoče razrešiti, lahko upravljavec odpove pogodbo z učinkom na datum, ko sprememba podobdelovalca začne veljati, statycs pa bo sorazmerno povrnil vnaprej plačane pristojbine za neizkoriščeni del obdobja.

statycs shranjuje in obdeluje podatke strank znotraj Evropske unije in Evropskega gospodarskega prostora. Kadar je treba podatke prenesti podobdelovalcem zunaj EU ali EGP - zlasti v Združene države Amerike - statycs zagotavlja, da so vzpostavljeni ustrezni zaščitni ukrepi v skladu s poglavjem V GDPR.

Ti zaščitni ukrepi vključujejo standardne pogodbene klavzule EU, ki jih je sprejela Evropska komisija, in, kjer je to primerno, sklepe o ustreznosti. statycs redno ocenjuje pravni okvir držav prejemnic, da zagotovi stalno skladnost. Kopija zaščitnih ukrepov je na voljo na zahtevo na [email protected].

statycs izvaja ustrezne tehnične in organizacijske ukrepe za zaščito osebnih podatkov, vključno z:

• šifriranjem podatkov med prenosom (TLS) in v mirovanju
• nadzorom dostopa na podlagi vlog po načelu najmanjših privilegijev
• večfaktorskim overjanjem za interne sisteme
• občasnimi varnostnimi pregledi, primernimi naravi in obsegu obdelave, vključno z občasnim testiranjem s strani tretjih oseb
• avtomatiziranim varnostnim kopiranjem podatkov in postopki za obnovitev po nesreči
• beleženjem in spremljanjem dostopa do osebnih podatkov
• usposabljanjem zaposlenih o ozaveščenosti glede varnosti

Trenutni opis tehničnih in organizacijskih ukrepov je na voljo na zahtevo na [email protected].

statycs bo upravljavca brez nepotrebnega odlašanja obvestil, takoj ko izve za kršitev varstva osebnih podatkov, ki bi verjetno povzročila tveganje za pravice in svoboščine posameznikov, na katere se nanašajo podatki.

Obvestilo bo, kolikor je znano, vključevalo: naravo kršitve, kategorije in približno število prizadetih posameznikov, verjetne posledice, sprejete ali predlagane ukrepe za obravnavo kršitve in ublažitev njenih učinkov ter kontaktno točko ([email protected]), pri kateri lahko upravljavec pridobi nadaljnje informacije.

statycs bo sodeloval z upravljavcem in sprejel razumne ukrepe za pomoč pri preiskavi, zajezitvi in odpravi kršitve.

Odgovornost za obdelavo podatkov po tej DPA ureja Splošne pogoje poslovanja temeljne pogodbe o storitvah. Nič v tej DPA ne spreminja ali razširja določil o odgovornosti, dogovorjenih med strankama.

Vsaka stranka je odgovorna za škodo, ki jo povzroči obdelava, ki krši GDPR, v skladu s členom 82 GDPR. statycs je odgovoren le za škodo, ki jo povzroči obdelava, ki ni skladna z obveznostmi, ki jih GDPR posebej nalaga obdelovalcem, ali z zakonitimi navodili upravljavca.

Ta DPA samodejno preneha ob prenehanju temeljne pogodbe o storitvah med upravljavcem in statycs.

Ob prenehanju se osebni podatki, obdelani v imenu upravljavca, hranijo 30 dni in se nato trajno izbrišejo, razen če upravljavec v tem obdobju zahteva vrnitev podatkov v strukturirani, splošno uporabljani obliki. statycs lahko osebne podatke hrani dlje od tega obdobja le, kadar to zahteva pravo EU ali avstrijsko pravo, in bo upravljavca obvestil o vsaki takšni zahtevi.

To DPA ureja avstrijsko pravo. Izključni kraj sodne pristojnosti je pristojno sodišče na Dunaju.