Ugovor o obradi podataka

Ovaj Ugovor o obradi osobnih podataka (dalje: Ugovor) sklapa se između poslovnog naručitelja i pružatelja usluge samo za tokove za koje je potvrđen odnos voditelja i izvršitelja obrade. Druge uloge uređuju se zasebno.

Izvršitelj obrade je PORAT DEV, obrt za programiranje i usluge, vl. Pero Radić, OIB 94958030025, sa sjedištem na adresi Ulica Dragutina Mitića 13, 10360 Sesvete, kontakt info@strankomat.hr.

Poslovni naručitelj može biti: odvjetnik, javni bilježnik, odvjetničko društvo ili drugi pravni stručnjak koji putem usluge Strankomat prati javne objave koje se odnose na njegove klijente i predmete.

Ugovor uređuje obradu osobnih podataka koju izvršitelj provodi u ime voditelja obrade i čini sastavni dio Uvjeta korištenja. Primjenjivi DPA i pripadajuće priloge prihvaća provjereni ovlašteni predstavnik poslovnog naručitelja prije aktivacije, uz nepromjenjivu kopiju ponuđenog teksta. Pojedinačni korisnik prihvaća svoje korisničke obveze. Kopije prihvaćenih dokumenata dostupne su u poslovnim dokumentima.

U slučaju nesuglasja između ovog Ugovora i Uvjeta korištenja, u pitanjima zaštite osobnih podataka mjerodavne su odredbe ovog Ugovora.

Predmet i priroda obrade. Automatizirano prikupljanje, pohrana, usporedba i dostava javnih objava s e-Oglasne ploče hrvatskog pravosuđa koje se odnose na osobe koje je voditelj obrade unio u svoj račun, te evidentiranje tih objava radi izbjegavanja ponovljene dostave. Obrada uključuje izričito odabrane sudske predmete, njihove dodjele strankama, korisnikove obveze i potvrđene rokove te evidenciju pregleda, izvršenja i podsjetnika.

Svrha obrade. Isključivo pružanje usluge Strankomat voditelju obrade, u skladu s njegovim uputama. Izvršitelj podatke ne koristi u vlastite svrhe, ne prodaje ih niti ih koristi za profiliranje, oglašavanje ili razvoj proizvoda izvan opsega pružanja usluge.

Trajanje. Obrada traje za vrijeme trajanja korisničkog računa, uvećano za razdoblja čuvanja navedena u čl. 10. ovog Ugovora.

Točne kategorije osoba, izvori, polja, svrhe, primatelji i rokovi navode se u prihvaćenim prilozima za konkretnog naručitelja. Obrada se ne aktivira dok potrebni uvjeti nisu dokumentirani.

Za posebne kategorije podataka iz članka 9. i podatke obuhvaćene člankom 10. GDPR-a potrebna je zasebna analiza primjenjivih uvjeta. Javna sudska objava nije opće dopuštenje za njihovu daljnju obradu. Neodobrene i nepoznate kombinacije ne uključuju se automatski u uslugu.

Odabir kanala ili korisnička izjava o svrsi ne predstavljaju privolu svih praćenih osoba i ne uklanjaju odgovornost pružatelja za njegove vlastite obrade.

Izvršitelj obrađuje osobne podatke isključivo na temelju dokumentiranih uputa voditelja obrade, uključujući u pogledu prijenosa podataka trećoj zemlji, osim kada je obrada propisana pravom Unije ili pravom države članice kojem izvršitelj podliježe (čl. 28. st. 3. t. (a) GDPR-a).

Dokumentiranim uputama smatraju se ovaj Ugovor, Uvjeti korištenja te postavke i radnje koje voditelj obrade poduzima unutar aplikacije (unos i uklanjanje osoba u nadzoru, odabir termina dostave, povezivanje kanala dostave, odabir količine podataka u Telegram obavijestima i zahtjevi upućeni podršci).

Ako izvršitelj podliježe pravnoj obvezi obrade izvan uputa, o toj pravnoj obvezi obavijestit će voditelja obrade prije obrade, osim ako je takva obavijest tim pravom zabranjena zbog važnog javnog interesa.

Izvršitelj bez odgađanja obavještava voditelja obrade ako smatra da neka njegova uputa krši GDPR ili druge propise Unije ili države članice o zaštiti podataka.

Izvršitelj osigurava da su se osobe ovlaštene za obradu osobnih podataka obvezale na povjerljivost ili da podliježu odgovarajućoj zakonskoj obvezi čuvanja povjerljivosti (čl. 28. st. 3. t. (b) GDPR-a).

Pristup podacima voditelja obrade ograničen je na osobe kojima je pristup nužan radi pružanja usluge, otklanjanja kvarova ili ispunjenja zakonske obveze, i to u najmanjem potrebnom opsegu.

Izvršitelj je upoznat s time da podaci mogu biti obuhvaćeni odvjetničkom tajnom te postupa s njima s time povećanom pažnjom.

Izvršitelj provodi odgovarajuće tehničke i organizacijske mjere iz čl. 32. GDPR-a, uzimajući u obzir najnovija dostignuća, troškove provedbe te prirodu, opseg i svrhe obrade. Mjere uključuju:

• enkripciju prometa u prijenosu (TLS) prema svim javnim sučeljima;
• pohranu lozinki isključivo u obliku kriptografskog sažetka s individualnom soli;
• kontrolu pristupa na razini korisničkog računa, uz odvojene ovlasti za administratorske radnje;
• vođenje evidencije pristupa (vrijeme zahtjeva, sučelje, status odgovora) radi sigurnosnog nadzora;
• periodične sigurnosne kopije baze podataka prema konfiguriranoj rotaciji;
• razdvajanje podataka po korisničkom računu, tako da korisnik može pristupiti isključivo vlastitim predmetima nadzora.

Izvršitelj mjere povremeno preispituje i ažurira. Izmjena mjere dopuštena je ako razina zaštite time nije smanjena.

Ugovorni paket sadrži registar stvarno aktivnih podizvršitelja i drugih primatelja, s ulogom, vrstama podataka, lokacijama, prijenosima i primjenjivim ugovorima. Hosting, transakcijska e-pošta, Firebase/APNs i Telegram procjenjuju se odvojeno.

Telegram je izborni vanjski kanal dostave, a ne podizvršitelj samo na temelju korisnikova odabira. Izvršitelj nema ugovor o obradi iz čl. 28. GDPR-a s Telegramom koji bi sam po sebi opravdao prijenos svih podataka naručitelja. Uloga i dopušteni sadržaj kanala moraju biti zasebno potvrđeni.

Detaljne poruke ograničene su na odobrena polja i kombinacije svrhe i kanala. OIB, prilozi, slobodan tekst i bilješke nisu dio poruka. Kod promjene ili opoziva dopuštenja primjenjuje se neutralni način, uključujući ponovne pokušaje dostave.

Uzimajući u obzir prirodu obrade, izvršitelj odgovarajućim tehničkim i organizacijskim mjerama pomaže voditelju obrade u ispunjavanju njegove obveze odgovaranja na zahtjeve ispitanika za ostvarivanje prava iz Poglavlja III. GDPR-a (čl. 28. st. 3. t. (e) GDPR-a).

Zaprimi li izvršitelj zahtjev ispitanika koji se odnosi na podatke voditelja obrade, neće na njega odgovoriti samostalno, već će ga bez odgađanja proslijediti voditelju obrade.

Aplikacija voditelju obrade omogućuje pristup, upravljanje i brisanje predmeta nadzora. Za izvoz podataka i zahtjeve koji nadilaze trenutačne mogućnosti korisničkog sučelja izvršitelj pruža razumnu pomoć putem objavljenog kontakta za privatnost.

Izvršitelj pomaže voditelju obrade u ispunjavanju obveza iz čl. 32. do 36. GDPR-a, uzimajući u obzir prirodu obrade i informacije koje su mu dostupne (čl. 28. st. 3. t. (f) GDPR-a).

Izvršitelj obavještava voditelja obrade o povredi osobnih podataka bez nepotrebnog odgađanja, a najkasnije u roku od 48 sati od saznanja, kako bi voditelj obrade mogao ispuniti vlastiti rok od 72 sata prema nadzornom tijelu.

Obavijest sadrži, u mjeri u kojoj je poznato: opis prirode povrede, približan broj i kategorije zahvaćenih ispitanika i zapisa, vjerojatne posljedice, poduzete i predložene mjere te kontakt za dodatne informacije. Ako svi podaci nisu odmah dostupni, dostavljaju se postupno, bez daljnjeg odgađanja.

Izvršitelj na zahtjev pruža razumnu pomoć pri procjeni učinka na zaštitu podataka (čl. 35.) i prethodnom savjetovanju s nadzornim tijelom (čl. 36.).

Po prestanku pružanja usluge izvršitelj, prema izboru voditelja obrade, briše ili vraća sve osobne podatke i briše postojeće kopije, osim ako pravo Unije ili države članice zahtijeva pohranu (čl. 28. st. 3. t. (g) GDPR-a).

Voditelj obrade svoj izbor priopćuje uz zahtjev za zatvaranje računa ili nakon njega. Izvršitelj postupa bez nepotrebnog odgađanja nakon provjere identiteta i upute. Ako voditelj ne zatraži povrat, njegovi korisnički podaci u aktivnim sustavima brišu se kroz dokumentirani postupak zatvaranja računa.

Podaci iz sigurnosnih kopija brišu se istekom redovnog ciklusa rotacije kopija. Do brisanja ostaju zaštićeni mjerama iz čl. 6. ovog Ugovora i ne koriste se ni u koju drugu svrhu.

Iznimno, izvršitelj zadržava podatke nužne za ispunjenje zakonskih obveza (primjerice izdane račune), i to samo u opsegu i trajanju koje propis zahtijeva.

Izvršitelj voditelju obrade stavlja na raspolaganje sve informacije nužne za dokazivanje poštovanja obveza iz čl. 28. GDPR-a te omogućuje revizije, uključujući inspekcije, koje provodi voditelj obrade ili revizor kojeg on ovlasti, i doprinosi njima (čl. 28. st. 3. t. (h) GDPR-a).

Zahtjev za reviziju najavljuje se najmanje 30 dana unaprijed, provodi se u radno vrijeme i na način koji razumno ne remeti rad izvršitelja, a najviše jednom godišnje, osim ako je revizija potaknuta povredom osobnih podataka ili zahtjevom nadzornog tijela.

Revizor koji nije zaposlenik voditelja obrade prethodno potpisuje obvezu čuvanja povjerljivosti. Podacima drugih korisnika revizor ne smije pristupiti.

Aplikacija i baza podataka smješteni su na poslužiteljima unutar Europskoga gospodarskog prostora (Njemačka). Izvršitelj ne prenosi osobne podatke izvan EGP-a u svrhu redovnog pružanja usluge.

Iznimka je dostava obavijesti putem Telegrama, kod koje se tekst obavijesti i identifikator chata mogu obrađivati na poslužiteljima izvan EGP-a prema Telegramovoj infrastrukturi, uvjetima i pravilima privatnosti. Izvršitelj nema ugovor o obradi iz čl. 28. GDPR-a s Telegramom za bot poruke, pa voditelj obrade prije povezivanja procjenjuje primjerenost tog izbornog kanala. Razgovori s botom dio su Telegramove usluge u oblaku i nisu end-to-end enkriptirani kao Telegramovi posebni tajni razgovori.

Voditelj obrade može odabrati neutralni način bez oznaka stranaka ili ne koristiti Telegram. Push putem Firebasea i APNs-a zaseban je izborni kanal koji također zahtijeva provjeru primatelja i prijenosa. Isključivanje Telegrama ne isključuje push; svaki se kanal odabire i isključuje zasebno.

Za svaki budući prijenos izvan EGP-a izvršitelj će prethodno osigurati odgovarajuće zaštitne mjere iz Poglavlja V. GDPR-a i o tome obavijestiti voditelja obrade.

Odgovornost za štetu uzrokovanu obradom uređena je čl. 82. GDPR-a. Ograničenja odgovornosti iz Uvjeta korištenja ne primjenjuju se na odgovornost prema ispitanicima niti na upravne novčane kazne izrečene na temelju GDPR-a.

Početak primjene određuje prihvaćeni ugovorni paket, prije aktivacije odgovarajuće obrade u ime voditelja. Samo otvaranje imenovanog računa ne zamjenjuje prihvat ovlaštenog predstavnika. Odredbe o povjerljivosti, brisanju i dokazivanju usklađenosti ostaju na snazi i nakon prestanka Ugovora, dok traje njihova svrha.

Izmjene Ugovora izvršitelj objavljuje na ovoj stranici i o njima obavještava voditelja obrade e-poštom najmanje 30 dana prije stupanja na snagu. Već prihvaćena kopija ostaje nepromijenjena; novu primjenjivu verziju i priloge ovlašteni predstavnik izričito prihvaća kroz ugovorni tok. Sam nastavak korištenja ne evidentira se kao prihvat novog teksta.

Na ovaj se Ugovor primjenjuje pravo Republike Hrvatske. Za sporove je nadležan stvarno nadležni sud u Zagrebu. Više o obradi podataka izvršitelja kao voditelja obrade nalazi se u Politici privatnosti.