Ovaj Ugovor o obradi podataka („DPA”) čini sastavni dio Ugovora između društva ELXAO SASU („Izvršitelj obrade”) i klijenta („Voditelj obrade”) te provodi članak 28. Uredbe (EU) 2016/679 („GDPR”) i francuskog Zakona o zaštiti podataka (Loi n° 78-17 od 6. siječnja 1978., s izmjenama i dopunama). Primjenjuje se kad god ELXAO obrađuje osobne podatke u ime voditelja obrade tijekom pružanja Usluga.
Definicije
Izrazi "osobni podaci", "obrada", "voditelj obrade", "izvršitelj obrade", "podizvršitelj obrade", "subjekt podataka", "podaci posebne kategorije" i "kršenje osobnih podataka" imaju značenje utvrđeno u članku 4. Uredbe GDPR. Odredbe Ugovora primjenjuju se na ovaj DPA, osim ako ovaj DPA izričito ne odstupaju od njih.
Predmet obrade, trajanje i priroda obrade
| Stavka | Opis |
|---|---|
| Predmet | Pružanje usluga marketinških operacija (web stranice, SEO, plaćeni mediji, analitika, CRM/e-pošta, brendiranje, društveni mediji, lokalizacija, upravljanje projektima/događaji) u ime Kontrolora. |
| Trajanje | Trajanje angažmana, plus razdoblja zadržavanja navedena u nastavku. |
| Priroda i svrha | Pohrana, organizacija, analiza, prijenos, hosting i brisanje osobnih podataka prema potrebi za pružanje usluga. |
| Kategorije ispitanika | Krajnji korisnici kontrolora, potencijalni klijenti, kupci, pretplatnici, zaposlenici, dobavljači i sudionici događaja. |
| Kategorije osobnih podataka | Podaci za identifikaciju (ime, titula), kontaktni podaci (e-pošta, telefon, poštanska adresa), profesionalni podaci (tvrtka, uloga), online identifikatori (IP, kolačići, ID-ovi uređaja), podaci o ponašanju (klikovi, sesije, konverzije), komercijalni podaci (narudžbe, naplate), podaci o događajima (prijave, prisustvo, bedževi, snimke). |
| Podaci posebne kategorije | Po zadanom se ne obrađuje. Svaka iznimka zahtijeva pisanu uputu i dodatne mjere zaštite. |
Uloge i upute
Kontrolor određuje svrhe i sredstva obrade. ELXAO obrađuje osobne podatke isključivo prema dokumentiranim uputama Kontrolora, koje su formalizirane Ugovorom, nalogima, SLA-ima, Politikom privatnosti Kontrolora i svim posebnim pisanim uputama poslane nakon toga. ELXAO će bez odgađanja obavijestiti Kontrolora ako smatra da uputa krši zakon o zaštiti podataka.
Povjerljivost osoblja
ELXAO osigurava da je svaka osoba ovlaštena obrađivati osobne podatke obvezana na provedivu obvezu povjerljivosti (ugovor o radu, ugovor o slobodnom radu ili ugovor o povjerljivosti) i da je prošla obuku o zaštiti osobnih podataka primjerenu svojoj ulozi.
Sigurnosne mjere
ELXAO provodi odgovarajuće tehničke i organizacijske mjere (članak 32. GDPR-a), uključujući:
- TLS 1.2+ enkripcija u prijenosu i AES-256 enkripcija u mirovanju za proizvodne pohrane podataka.
- Kontrola pristupa temeljena na ulogama s načelom najmanjih privilegija; obavezna višefaktorska autentifikacija za sve administratore.
- Očvrsnuta infrastruktura hostirana u EU s redovitim skeniranjem ranjivosti i primjenom zakrpa.
- Pregled koda, upravljanje tajnama, siguran SDLC i odvajanje produkcijskih i pripremnih okruženja.
- Centralizirano, integritetno zaštićeno logiranje; obavještavanje o sumnjivim događajima autentifikacije i izvoza podataka.
- Šifrirane sigurnosne kopije geografski razdvojene s dokumentiranim testovima obnove.
- Postupci uvođenja/odjave osoblja, upravitelj lozinki, sigurni prijenosnici s enkripcijom cijelog diska.
- Planovi za kontinuitet poslovanja i odgovor na incidente pregledavaju se najmanje jednom godišnje.
Podugovaranje
Kontrolor daje ELXAO opću ovlast za angažiranje podizvođača za izvršavanje određenih aktivnosti obrade (hosting, dostava e-pošte, analitika, oglasne platforme, alati za korisničku podršku, platforme za upravljanje događajima). ELXAO vodi ažurirani popis podizvođača, dostupan na zahtjev na [email protected], i obavijestit će najmanje trideset (30) dana unaprijed o bilo kakvom namjeravanom dodavanju ili zamjeni, tijekom kojeg Voditelj obrade može uložiti prigovor iz opravdanih razloga zaštite podataka. ELXAO nameće svakom podizvođaču obveze zaštite podataka koje ne jamče manju razinu zaštite od onih utvrđenih u ovom Ugovoru o obradi podataka.
Međunarodni prijenosi
Osobni se podaci obrađuju prvenstveno unutar Europskog gospodarskog prostora (EGP). Kada obrada uključuje prijenos izvan EGP-a u zemlju za koju ne postoji odluka o primjerenosti, ELXAO se oslanja na odgovarajuća jamstva prema članku 46. GDPR-a, prvenstveno na standardne ugovorne klauzule (SCC) Europske komisije od 4. lipnja 2021., dopunjene svim dodatnim mjerama koje zahtijeva procjena utjecaja prijenosa.
Pomoć kontroloru
ELXAO pomaže voditelju obrade, primjenom odgovarajućih tehničkih i organizacijskih mjera, u ispunjavanju njegovih obveza odgovaranja na zahtjeve ispitanika (članci 12.–22. GDPR-a) i u osiguravanju usklađenosti s člancima 32.–36. GDPR-a (sigurnost, obavještavanje o povredi, DPIA, prethodna konzultacija). Standardna pomoć uključena je u Usluge; za značajan rad koji premašuje jedan (1) radni dan po zahtjevu može se naplatiti prema tadašnjim važećim profesionalnim stopama ELXAO nakon pisanog obavještenja.
Povreda osobnih podataka
ELXAO obavještava Kontrolora bez nepotrebnog odgađanja, a u svakom slučaju u roku od sedamdeset i dva (72) sata od saznanja za povredu osobnih podataka koja utječe na podatke Kontrolora. Obavijest uključuje prirodu povrede, kategorije i približne količine pogođenih podataka, vjerojatne posljedice te mjere poduzete ili predložene za njihovo otklanjanje.
Revizije
ELXAO na razuman zahtjev i ne više od jednom godišnje (osim nakon povrede) omogućuje Kontroloru pristup informacijama potrebnim za dokazivanje usklađenosti s ovom DPA, uključujući izvještaje tipa ISO 27001 / SOC 2 od podizvođača kada su dostupni. Provjere na licu mjesta mogu provoditi Kontrolor ili uzajamno odobreni vanjski revizor obvezan na povjerljivost, na trošak Kontrolora, uz razumno prethodno obavještenje i tijekom radnog vremena, na način koji ne ometa poslovanje ELXAO na nerazuman način.
Povrat ili brisanje podataka
Po prestanku Ugovora, ELXAO će, prema izboru Kontrolora izraženom u roku od trideset (30) dana, ili vratiti sve osobne podatke u strukturiranom, uobičajeno korištenom i strojno čitljivom formatu, ili ih izbrisati iz svih produkcijskih i operativnih sustava. Sigurnosne kopije brišu se prema standardnom ciklusu rotacije (do devedeset (90) dana) i mogu se zadržati izvan tog razdoblja samo ako to zahtijeva primjenjivo zakonodavstvo, u kojem slučaju ostaju podložne obvezama sigurnosti i povjerljivosti iz ovog DPA-a.
Odgovornost
Odredbe o odgovornosti iz MSA primjenjuju se na zahtjeve koji proizlaze iz ovog DPA. Svaka strana ostaje odgovorna subjektima podataka i nadzornim tijelima u skladu s člankom 82. GDPR-a.
Kontakt
Za sva pitanja, zahtjeve ili obavijesti u vezi s zaštitom podataka prema ovom DPA-u obratite se ELXAO na [email protected].