Ugovor o obradi podataka

Ovaj Ugovor o obradi osobnih podataka (dalje: Ugovor) sklapa se između korisnika usluge Strankomat, kao voditelja obrade, i pružatelja usluge, kao izvršitelja obrade.

Izvršitelj obrade je PORAT DEV, obrt za programiranje i usluge, vl. Pero Radić, OIB 94958030025, sa sjedištem na adresi Ulica Dragutina Mitića 13, 10360 Sesvete, kontakt info@strankomat.hr.

Voditelj obrade je korisnik: odvjetnik, javni bilježnik, odvjetničko društvo ili drugi pravni stručnjak koji putem usluge Strankomat prati javne objave koje se odnose na njegove klijente i predmete.

Ugovor uređuje obradu osobnih podataka koju izvršitelj provodi u ime voditelja obrade i čini sastavni dio Uvjeta korištenja. Sklapa se prihvaćanjem Uvjeta korištenja prilikom aktivacije korisničkog računa, u skladu s čl. 28. st. 3. GDPR-a. Potpisani primjerak izvršitelj dostavlja na zahtjev, na adresu iz prvog stavka.

U slučaju nesuglasja između ovog Ugovora i Uvjeta korištenja, u pitanjima zaštite osobnih podataka mjerodavne su odredbe ovog Ugovora.

Predmet i priroda obrade. Automatizirano prikupljanje, pohrana, usporedba i dostava javnih objava s e-Oglasne ploče hrvatskog pravosuđa koje se odnose na osobe koje je voditelj obrade unio u svoj račun, te evidentiranje tih objava radi izbjegavanja ponovljene dostave.

Svrha obrade. Isključivo pružanje usluge Strankomat voditelju obrade, u skladu s njegovim uputama. Izvršitelj podatke ne koristi u vlastite svrhe, ne prodaje ih niti ih koristi za profiliranje, oglašavanje ili razvoj proizvoda izvan opsega pružanja usluge.

Trajanje. Obrada traje za vrijeme trajanja korisničkog računa, uvećano za razdoblja čuvanja navedena u čl. 10. ovog Ugovora.

Kategorije ispitanika: osobe koje voditelj obrade unese u nadzor (stranke i drugi sudionici postupaka), te osobe navedene u javnim objavama koje se na njih odnose.

Vrste osobnih podataka: OIB, naziv pravne osobe odnosno ime i prezime fizičke osobe, te podaci sadržani u javnim objavama e-Oglasne ploče (broj i naziv spisa, naziv suda, vrsta i datum objave, te adresa stranke ako je u objavi objavljena).

Izvršitelj ne traži i ne zahtijeva unos posebnih kategorija osobnih podataka iz čl. 9. GDPR-a. Ako takvi podaci uđu u sustav kao dio sadržaja javne objave suda, izvršitelj ih obrađuje pod istim uvjetima kao i ostale podatke iz objave, bez zasebne analize.

Izvršitelj obrađuje osobne podatke isključivo na temelju dokumentiranih uputa voditelja obrade, uključujući u pogledu prijenosa podataka trećoj zemlji, osim kada je obrada propisana pravom Unije ili pravom države članice kojem izvršitelj podliježe (čl. 28. st. 3. t. (a) GDPR-a).

Dokumentiranim uputama smatraju se ovaj Ugovor, Uvjeti korištenja te postavke i radnje koje voditelj obrade poduzima unutar aplikacije (unos i uklanjanje osoba u nadzoru, odabir termina dostave, povezivanje kanala dostave i zahtjevi upućeni podršci).

Ako izvršitelj podliježe pravnoj obvezi obrade izvan uputa, o toj pravnoj obvezi obavijestit će voditelja obrade prije obrade, osim ako je takva obavijest tim pravom zabranjena zbog važnog javnog interesa.

Izvršitelj bez odgađanja obavještava voditelja obrade ako smatra da neka njegova uputa krši GDPR ili druge propise Unije ili države članice o zaštiti podataka.

Izvršitelj osigurava da su se osobe ovlaštene za obradu osobnih podataka obvezale na povjerljivost ili da podliježu odgovarajućoj zakonskoj obvezi čuvanja povjerljivosti (čl. 28. st. 3. t. (b) GDPR-a).

Pristup podacima voditelja obrade ograničen je na osobe kojima je pristup nužan radi pružanja usluge, otklanjanja kvarova ili ispunjenja zakonske obveze, i to u najmanjem potrebnom opsegu.

Izvršitelj je upoznat s time da podaci mogu biti obuhvaćeni odvjetničkom tajnom te postupa s njima s time povećanom pažnjom.

Izvršitelj provodi odgovarajuće tehničke i organizacijske mjere iz čl. 32. GDPR-a, uzimajući u obzir najnovija dostignuća, troškove provedbe te prirodu, opseg i svrhe obrade. Mjere uključuju:

• enkripciju prometa u prijenosu (TLS) prema svim javnim sučeljima;
• pohranu lozinki isključivo u obliku kriptografskog sažetka s individualnom soli;
• kontrolu pristupa na razini korisničkog računa, uz odvojene ovlasti za administratorske radnje;
• vođenje evidencije pristupa (vrijeme zahtjeva, sučelje, status odgovora) radi sigurnosnog nadzora;
• redovite sigurnosne kopije baze podataka i provjeru mogućnosti njihova vraćanja;
• razdvajanje podataka po korisničkom računu, tako da korisnik može pristupiti isključivo vlastitim predmetima nadzora.

Izvršitelj mjere povremeno preispituje i ažurira. Izmjena mjere dopuštena je ako razina zaštite time nije smanjena.

Voditelj obrade daje izvršitelju opće pisano odobrenje za angažiranje podizvršitelja obrade (čl. 28. st. 2. GDPR-a). Na dan stupanja na snagu ovog Ugovora angažirani su:

• Hetzner Online GmbH (Njemačka, EU): hosting aplikacije i baze podataka.
• Telegram Messenger Inc.: dostava obavijesti. Prosljeđuju se isključivo identifikator chata i tekst obavijesti.
• Stripe Payments Europe Ltd. (Irska, EU): obrada plaćanja. Postaje aktivan tek kad naplata bude uvedena; do tada se podaci ovom podizvršitelju ne prosljeđuju.

Izvršitelj svakom podizvršitelju ugovorom nameće obveze zaštite podataka koje nisu blaže od onih iz ovog Ugovora i ostaje u potpunosti odgovoran voditelju obrade za ispunjenje njihovih obveza (čl. 28. st. 4. GDPR-a).

O namjeri dodavanja ili zamjene podizvršitelja izvršitelj obavještava voditelja obrade e-poštom najmanje 14 dana unaprijed. Voditelj obrade u tom roku može uložiti obrazložen prigovor. Ako prigovor nije moguće razriješiti, voditelj obrade može raskinuti Ugovor i korisnički račun bez naknade, s učinkom od dana uvođenja spornog podizvršitelja.

Uzimajući u obzir prirodu obrade, izvršitelj odgovarajućim tehničkim i organizacijskim mjerama pomaže voditelju obrade u ispunjavanju njegove obveze odgovaranja na zahtjeve ispitanika za ostvarivanje prava iz Poglavlja III. GDPR-a (čl. 28. st. 3. t. (e) GDPR-a).

Zaprimi li izvršitelj zahtjev ispitanika koji se odnosi na podatke voditelja obrade, neće na njega odgovoriti samostalno, već će ga bez odgađanja proslijediti voditelju obrade.

Aplikacija voditelju obrade omogućuje pristup, ispravak i brisanje predmeta nadzora te izvoz podataka, čime se zahtjevi ispitanika u pravilu mogu ispuniti samostalno. Za zahtjeve koji nadilaze te mogućnosti izvršitelj pruža razumnu pomoć.

Izvršitelj pomaže voditelju obrade u ispunjavanju obveza iz čl. 32. do 36. GDPR-a, uzimajući u obzir prirodu obrade i informacije koje su mu dostupne (čl. 28. st. 3. t. (f) GDPR-a).

Izvršitelj obavještava voditelja obrade o povredi osobnih podataka bez nepotrebnog odgađanja, a najkasnije u roku od 48 sati od saznanja, kako bi voditelj obrade mogao ispuniti vlastiti rok od 72 sata prema nadzornom tijelu.

Obavijest sadrži, u mjeri u kojoj je poznato: opis prirode povrede, približan broj i kategorije zahvaćenih ispitanika i zapisa, vjerojatne posljedice, poduzete i predložene mjere te kontakt za dodatne informacije. Ako svi podaci nisu odmah dostupni, dostavljaju se postupno, bez daljnjeg odgađanja.

Izvršitelj na zahtjev pruža razumnu pomoć pri procjeni učinka na zaštitu podataka (čl. 35.) i prethodnom savjetovanju s nadzornim tijelom (čl. 36.).

Po prestanku pružanja usluge izvršitelj, prema izboru voditelja obrade, briše ili vraća sve osobne podatke i briše postojeće kopije, osim ako pravo Unije ili države članice zahtijeva pohranu (čl. 28. st. 3. t. (g) GDPR-a).

Voditelj obrade svoj izbor priopćuje najkasnije 30 dana od prestanka računa. Podaci se u tom razdoblju čuvaju kako bi izvoz bio moguć, a nakon njegova isteka bez primljene upute brišu se iz aktivne baze.

Podaci iz sigurnosnih kopija brišu se istekom redovnog ciklusa rotacije kopija. Do brisanja ostaju zaštićeni mjerama iz čl. 6. ovog Ugovora i ne koriste se ni u koju drugu svrhu.

Iznimno, izvršitelj zadržava podatke nužne za ispunjenje zakonskih obveza (primjerice izdane račune), i to samo u opsegu i trajanju koje propis zahtijeva.

Izvršitelj voditelju obrade stavlja na raspolaganje sve informacije nužne za dokazivanje poštovanja obveza iz čl. 28. GDPR-a te omogućuje revizije, uključujući inspekcije, koje provodi voditelj obrade ili revizor kojeg on ovlasti, i doprinosi njima (čl. 28. st. 3. t. (h) GDPR-a).

Zahtjev za reviziju najavljuje se najmanje 30 dana unaprijed, provodi se u radno vrijeme i na način koji razumno ne remeti rad izvršitelja, a najviše jednom godišnje, osim ako je revizija potaknuta povredom osobnih podataka ili zahtjevom nadzornog tijela.

Revizor koji nije zaposlenik voditelja obrade prethodno potpisuje obvezu čuvanja povjerljivosti. Podacima drugih korisnika revizor ne smije pristupiti.

Aplikacija i baza podataka smješteni su na poslužiteljima unutar Europskoga gospodarskog prostora (Njemačka). Izvršitelj ne prenosi osobne podatke izvan EGP-a u svrhu redovnog pružanja usluge.

Iznimka je dostava obavijesti putem Telegrama, kod koje se tekst obavijesti i identifikator chata mogu obrađivati na poslužiteljima izvan EGP-a. Taj se prijenos temelji na standardnim ugovornim klauzulama Europske komisije (Provedbena odluka (EU) 2021/914).

Voditelj obrade može ovaj prijenos izbjeći tako da ne poveže Telegram kao kanal dostave. U tom slučaju obavijesti nisu dostupne dok izvršitelj ne uvede alternativni kanal dostave.

Za svaki budući prijenos izvan EGP-a izvršitelj će prethodno osigurati odgovarajuće zaštitne mjere iz Poglavlja V. GDPR-a i o tome obavijestiti voditelja obrade.

Odgovornost za štetu uzrokovanu obradom uređena je čl. 82. GDPR-a. Ograničenja odgovornosti iz Uvjeta korištenja ne primjenjuju se na odgovornost prema ispitanicima niti na upravne novčane kazne izrečene na temelju GDPR-a.

Ugovor stupa na snagu aktivacijom korisničkog računa i traje dok traje obrada osobnih podataka u ime voditelja obrade. Odredbe o povjerljivosti, brisanju i dokazivanju usklađenosti ostaju na snazi i nakon prestanka Ugovora, dok traje njihova svrha.

Izmjene Ugovora izvršitelj objavljuje na ovoj stranici i o njima obavještava voditelja obrade e-poštom najmanje 30 dana prije stupanja na snagu. Nastavak korištenja usluge nakon tog roka smatra se prihvatom izmjena; voditelj obrade koji izmjene ne prihvaća može raskinuti Ugovor i korisnički račun bez naknade.

Na ovaj se Ugovor primjenjuje pravo Republike Hrvatske. Za sporove je nadležan stvarno nadležni sud u Zagrebu. Više o obradi podataka izvršitelja kao voditelja obrade nalazi se u Politici privatnosti.