Ugovor o obradi podataka

Stranke

Voditelj obrade ("Naručitelj")

Izvršitelj obrade ("Alvoru")

U daljnjem tekstu zajedno: "Stranke".

Uzimajući u obzir da

• su Stranke sklopile glavni ugovor u kojem Alvoru kao Izvršitelj obrade obrađuje osobne podatke u ime Naručitelja (u daljnjem tekstu: "Glavni ugovor");
• je na temelju članka 28. stavka 3. GDPR-a potreban pisani ugovor o obradi podataka u kojem su utvrđeni dogovori o načinu na koji Izvršitelj obrade obrađuje osobne podatke;
• ovaj ugovor o obradi podataka (u daljnjem tekstu: "DPA") čini sastavni dio Glavnog ugovora.

Članak 1. — Definicije

Pojmovi u ovom DPA-u pisani velikim početnim slovom imaju značenje koje im je dodijeljeno u GDPR-u, dopunjeno definicijama iz Općih uvjeta Alvorua.

Članak 2. — Predmet i trajanje

2.1 Ovaj DPA uređuje obradu osobnih podataka od strane Alvorua po nalogu Naručitelja u okviru Glavnog ugovora.

2.2 Ovaj DPA stupa na snagu na datum početka Glavnog ugovora i po sili zakona prestaje raskidom Glavnog ugovora, ne dovodeći u pitanje one odredbe koje su po svojoj prirodi namijenjene da i dalje vrijede.

Članak 3. — Priroda i svrha obrade

3.1 Priroda i svrha obrade sastoje se od pružanja Usluge opisane u Glavnom ugovoru (AI korisnička podrška, uključujući chatbot, e-poštu i kalendar).

3.2 Alvoru obrađuje osobne podatke isključivo prema dokumentiranim uputama Naručitelja, osim u slučaju odstupajućih zakonskih obveza (čl. 28. st. 3. točka a GDPR-a). U potonjem slučaju Alvoru obavještava Naručitelja prije obrade, osim ako taj zakon to zabranjuje iz važnih razloga.

Članak 4. — Vrsta osobnih podataka i kategorije ispitanika

Posebne kategorije osobnih podataka (čl. 9. GDPR-a) i podaci o kaznenim djelima (čl. 10. GDPR-a) ne obrađuju se, osim ako je to dodatno pisano dogovoreno.

Članak 5. — Obveze Izvršitelja obrade

5.1 Alvoru obrađuje osobne podatke isključivo u svrhe utvrđene u Glavnom ugovoru i ovom DPA-u te prema pisanim uputama Naručitelja.

5.2 Alvoru jamči da osobe koje obrađuju osobne podatke imaju obvezu čuvanja povjerljivosti, bilo na temelju zakona bilo na temelju ugovora.

5.3 Alvoru pruža Naručitelju, uzimajući u obzir prirodu obrade, razumnu pomoć pri udovoljavanju zahtjevima ispitanika za ostvarivanje njihovih prava na temelju GDPR-a.

5.4 Alvoru stavlja Naručitelju na raspolaganje sve informacije potrebne za dokazivanje usklađenosti s člankom 28. GDPR-a.

5.5 Zabrana obučavanja AI-ja. Alvoru nikada neće koristiti osobne podatke koje obrađuje u ime Voditelja obrade za treniranje, fino podešavanje ni drugo poboljšanje AI modela, niti za razvoj vlastitih ili AI aplikacija trećih strana.

Članak 6. — Sigurnosne mjere (članak 32. GDPR-a)

Alvoru poduzima odgovarajuće tehničke i organizacijske mjere za osiguravanje razine sigurnosti primjerene riziku, uključujući:

• Enkripcija tijekom prijenosa (TLS 1.2+) i, gdje je primjenjivo, enkripcija u mirovanju;
• Kontrola pristupa na temelju least privilege; dvofaktorska autentifikacija za administratore;
• Vatrozidi, fail2ban i praćenje upada;
• Dnevne šifrirane sigurnosne kopije s rokom čuvanja od najviše 90 dana;
• Restriktivne dozvole datoteka (600) na konfiguracijskim i podatkovnim datotekama;
• Bilježenje i praćenje pristupa produkcijskim sustavima;
• Periodična evaluacija i ažuriranje sigurnosnih mjera.

Članak 7. — Podizvršitelji obrade

7.1 Naručitelj daje Alvoruu opću pisanu suglasnost za angažiranje podizvršitelja obrade, pod uvjetom da Alvoru ispunjava ostale odredbe ovog članka.

7.2 Trenutačno angažirani podizvršitelji obrade su:

7.3 Alvoru podizvršiteljima nameće iste obveze zaštite podataka kao što su navedene u ovom DPA-u (članak 28. stavak 4. GDPR-a).

7.4 Alvoru obavještava Naručitelja najmanje 14 dana unaprijed o zamjeni ili dodavanju podizvršitelja. Naručitelj u tom roku može uložiti obrazloženi prigovor. U slučaju osnovanog prigovora, Naručitelj ima pravo besplatno raskinuti Glavni ugovor.

Članak 8. — Prijenos izvan EGP-a

Prijenos osobnih podataka u zemlju izvan Europskog gospodarskog prostora odvija se isključivo na temelju odluke o primjerenosti (čl. 45. GDPR-a), obvezujućih korporativnih pravila, standardnih ugovornih klauzula EU-a (čl. 46. stavak 2. točka c GDPR-a) ili druge zaštitne mjere predviđene GDPR-om, dopunjene dodatnim tehničkim i organizacijskim mjerama gdje je to potrebno.

Članak 9. — Prava ispitanika

9.1 Alvoru pruža Naručitelju odgovarajuću podršku pri obradi zahtjeva ispitanika (pristup, ispravak, brisanje, ograničenje, prenosivost, prigovor) putem tehničkih funkcionalnosti u korisničkom portalu te, gdje je to potrebno, dodatnu pomoć.

9.2 Alvoru bez odgode prosljeđuje Naručitelju zahtjeve ispitanika koji stignu izravno Alvoru.

Članak 10. — Povrede podataka

10.1 Alvoru obavještava Naručitelja bez odgode i najkasnije u roku od 48 sati nakon utvrđivanja povrede osobnih podataka (čl. 33. stavak 2. GDPR-a), kako bi Naručitelj mogao pravovremeno ispuniti svoju obvezu prijave u roku od 72 sata Autoriteit Persoonsgegevens.

10.2 Prijava u svakom slučaju sadrži: prirodu povrede, kategorije i broj ispitanika, kategorije i broj obuhvaćenih zapisa, vjerojatne posljedice te poduzete ili predložene mjere.

10.3 Alvoru pruža Naručitelju odgovarajuću pomoć pri prijavi Autoriteit Persoonsgegevens te, gdje je to relevantno, ispitanicima.

Članak 11. — Revizija

11.1 Naručitelj može jednom po kalendarskoj godini, uz prethodnu pisanu najavu od najmanje 30 dana, o vlastitom trošku provesti (ili dati provesti) reviziju usklađenosti Alvoru s ovim DPA-om.

11.2 Reviziju provodi neovisan revizor obvezan na povjerljivost, tijekom radnog vremena i na način koji ne narušava uobičajeno poslovanje Alvoru.

11.3 Umjesto revizije na licu mjesta, Alvoru se može zadovoljiti aktualnim izvješćem neovisne treće strane (primjerice ISO 27001 ili SOC 2), pod uvjetom da to izvješće pruža razumno dovoljnu razinu sigurnosti.

Članak 12. — Raskid i brisanje podataka

12.1 Nakon raskida Glavnog ugovora Alvoru će, po izboru Naručitelja i na prvi pisani zahtjev, izbrisati sve osobne podatke ili ih vratiti Naručitelju, u skladu s člankom 28. stavkom 3. točkom g GDPR-a.

12.2 Takav se zahtjev može podnijeti u roku od 60 dana nakon raskida. U protivnom se podaci automatski brišu nakon 60 dana.

12.3 Offline sigurnosne kopije brišu se u skladu s uobičajenim rasporedom rotacije najkasnije 90 dana nakon raskida.

12.4 Podaci koje Alvoru mora čuvati na temelju zakona čuvaju se tijekom zakonski propisanog roka.

Članak 13. — Odgovornost

13.1 Odgovornost Alvoru prema ovom DPA-u obuhvaćena je i ograničena odredbama o odgovornosti iz Općih uvjeta koji pripadaju Glavnom ugovoru.

13.2 Prisilne odredbe GDPR-a ostaju nepromijenjene.

Članak 13.a — Evidencija aktivnosti obrade

Alvoru vodi evidenciju aktivnosti obrade u skladu s člankom 30. GDPR-a. Ta evidencija u svakom slučaju sadrži: naziv i kontaktne podatke Alvoru kao izvršitelja obrade, kategorije obrada koje se provode u ime Voditelja obrade, prijenose u treće zemlje i primijenjene zaštitne mjere te opći opis tehničkih i organizacijskih sigurnosnih mjera. Evidencija je na zahtjev dostupna Autoriteit Persoonsgegevens.

Članak 14. — Mjerodavno pravo i sporovi

Na ovaj DPA primjenjuje se nizozemsko pravo. Sporovi se podnose sudu Overijssel, lokacija Almelo.

Potpisivanje

Pošalji potpisanu verziju (skeniranu ili digitalno potpisanu) na info@alvoru.com. Alvoru vraća supotpisanu kopiju.