Ugovor o obradi podataka
Prema zahtjevima Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (u daljnjem tekstu: „GDPR”), dobavljač (u daljnjem tekstu: „izvršitelj obrade”) i vi (u daljnjem tekstu „voditelj obrade”) stupate u ugovorni odnos za obradu podataka kako biste definirali uvjete i odredbe za obradu osobnih podataka i način njihove zaštite te definirali druga prava i obveze obje strane u obradi osobnih podataka ispitanika u ime voditelja obrade tijekom obavljanja predmeta ovih uvjeta kao glavnog ugovora.
1. Obrada osobnih podataka. Usluge pružene u skladu s ovim uvjetima uključuju obradu podataka koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi, a koji su navedeni u Pravilima privatnosti (u daljnjem tekstu: "osobni podaci").
2. Autorizacija. Voditelj obrade ovlašćuje izvršitelja obrade za obradu osobnih podataka, uključujući sljedeće upute:
(i) „svrha obrade” znači pružanje usluga u skladu s ovim uvjetima. Izvršitelj obrade smije obrađivati osobne podatke samo u ime voditelja obrade kad je riječ o pružanju usluga koje je zatražio voditelj obrade. Svi podaci prikupljeni u dodatne svrhe obrađuju se izvan ugovornog odnosa voditelja obrade i izvršitelja obrade.
(ii) razdoblje obrade znači razdoblje od uspostavljanja suradnje prema ovim uvjetima do prekida usluga,
(iii) područje primjene i kategorije osobnih podataka uključuju opće osobne podatke, a ne uključuju nikakve posebne kategorije osobnih podataka,
(iv) „ispitanik” znači fizička osoba kao ovlašteni korisnik uređaja voditelja obrade,
(v) postupci obrade znači sve operacije potrebne u svrhu obrade,
(vi) „Zabilježene upute” znači upute opisane u ovim uvjetima, njihovim prilozima, pravilima privatnosti i dokumentaciji koji se odnose na uslugu. Voditelj obrade odgovoran je za pravnu prihvatljivost obrade osobnih podataka koju provodi izvršitelj obrade u odnosu na odgovarajuće primjenjive odredbe zakona o zaštiti podataka.
3. Obveze izvršitelja obrade. Izvršitelj obrade dužan je:
(i) obrađivati osobne podatke samo na temelju zabilježenih uputa i u svrhu definiranu u Uvjetima, prilozima Uvjetima, Pravilima privatnosti i dokumentaciji koji se odnose na uslugu,
(ii) osigurati da su se osobe ovlaštene za obradu osobnih podataka obvezale na povjerljivost i pridržavaju se zabilježenih uputa,
(iii) provoditi mjere opisane u Uvjetima, prilozima Uvjetima, Pravilima privatnosti i dokumentaciji o uslugama i pridržavati ih se,
(iv) pomagati voditelju obrade u odgovaranju na zahtjeve ispitanika u vezi s njihovim pravima. Izvršitelj obrade ne smije ispravljati, uklanjati niti ograničavati obradu osobnih podataka bez naloga voditelja obrade. Svi zahtjevi ispitanika koji se odnose na osobne podatke obrađene u ime voditelja obrade prosljeđuju se voditelju obrade bez odlaganja.
(v) pomagati voditelju obrade u obavještavanju nadzornog tijela i ispitanika o kršenju osobnih podataka,
(vi) obrisati ili vratiti sve osobne podatke voditelju obrade nakon isteka razdoblja obrade,
(vii) voditi ažurirani registar svih kategorija aktivnosti obrade koje je izvršio u ime voditelja obrade,
(viii) učiniti dostupnima voditelju obrade sve informacije koje su potrebne za dokazivanje usklađenosti kao dio Uvjeta, priloga Uvjetima, Pravila privatnosti i dokumentacije koji se odnose na uslugu.
4. Angažiranje drugog izvršitelja obrade. Izvršitelj obrade ima pravo angažirati drugog izvršitelja obrade za obavljanje određenih postupaka obrade, kao što je osiguravanje pohrane u cloudu i infrastrukture za uslugu u skladu s Uvjetima, prilozima Uvjetima, Pravilima privatnosti i dokumentaciji koji se odnose na uslugu. Trenutačno Microsoft osigurava pohranu u cloudu i infrastrukturu kao dio Azure Servisa na cloudu. Izvršitelj obrade i u ovom slučaju ostaje jedina kontaktna točka i strana odgovorna za sukladnost.
5. Područje obrade. Izvršitelj obrade osigurava da se obrada odvija u Europskom gospodarskom prostoru ili u zemlji koja je odlukom Europske komisije proglašena sigurnom na temelju odluke voditelja obrade. Standardne ugovorne odredbe primjenjuju se u slučaju prijenosa i obrade koji se nalaze izvan Europskog gospodarskog prostora ili države koja je odlukom Europske komisije proglašena sigurnom na zahtjev voditelja obrade.
6. Sigurnost. Izvršitelj obrade certificiran je prema normi ISO 27001:2013 i upotrebljava okvir norme ISO 27001 za provedbu slojevite strategije obrambene sigurnosti prilikom primjene sigurnosnih kontrola na sloju mreže, operacijskih sustava, baza podataka, aplikacija, osoblja i operativnih procesa. Sukladnost s regulatornim i ugovornim zahtjevima redovito se procjenjuje i preispituje slično drugim infrastrukturama i operacijama izvršitelja obrade i poduzimaju se potrebni koraci kako bi se kontinuirano osiguravala sukladnost. Izvršitelj obrade je organizirao sigurnost podataka upotrebom ISMS-a na temelju ISO 27001 sustava. Sigurnosna dokumentacija uglavnom uključuje dokumente politika za sigurnost informacija, fizičku sigurnost i sigurnost opreme, upravljanje incidentima, rukovanje curenjima podataka i sigurnosnim incidentima itd.
7. Kontaktni podaci izvršitelja obrade. Sve obavijesti, zahtjevi, nalozi i druga komunikacija u vezi sa zaštitom osobnih podataka upućuju se društvu ESET, spol. s.r.o., na ruke: Data Protection Officer, Einsteinova 24, 85101 Bratislava, Slovak Republic, email: dpo@eset.sk.