Ugovor o obradi podataka o ličnosti

Rukovalac (pružalac usluge):

Naziv

Adresa

Matični broj

PIB

Zastupnik

E-mail za pitanja o podacima

Obrađivač: [NAZIV PRAVNOG LICA], [ULICA I BROJ, POŠTANSKI BROJ, MESTO], matični broj [MATIČNI BROJ], PIB [PIB], e-mail [privatnost@<domain>].

Ugovor se zaključuje prihvatanjem Uslova korišćenja ili potpisivanjem ovog obrasca i važi od dana otvaranja naloga Rukovaoca.

Ovim ugovorom uređuju se prava i obaveze ugovornih strana u vezi sa obradom podataka o ličnosti koju Obrađivač vrši u ime Rukovaoca pri pružanju usluge Apointo, u skladu sa članom 45 Zakona o zaštiti podataka o ličnosti (ZZPL).

Obrađivač podatke prikuplja putem sajta Rukovaoca, čuva, organizuje, prikazuje ovlašćenim korisnicima Rukovaoca, koristi za slanje obaveštenja o terminima, umnožava u rezervne kopije i briše, isključivo radi pružanja usluge online zakazivanja i vođenja termina.

Obrada traje dok traje ugovor o korišćenju usluge, uz rokove iz člana 9.

• Klijenti Rukovaoca: ime i prezime, broj telefona, e-mail adresa, napomena klijenta, termini (usluga, zaposleni, vreme, status) i interne napomene Rukovaoca.
• Zaposleni i saradnici Rukovaoca: ime, e-mail adresa, uloga, raspored rada i odsustva.

Rukovalac se obavezuje da u uslugu ne unosi posebne vrste podataka o ličnosti (član 17 ZZPL), na primer podatke o zdravlju ili alergijama, osim ako za to ima pravni osnov i o tome prethodno pismeno obavesti Obrađivača.

Obrađivač podatke obrađuje samo na osnovu dokumentovanih uputstava Rukovaoca. Uputstvima se smatraju ovaj ugovor, podešavanja i radnje koje Rukovalac izvrši u usluzi, kao i pisana uputstva poslata na e-mail Obrađivača.

Obrađivač će bez odlaganja obavestiti Rukovaoca ako smatra da je neko uputstvo suprotno zakonu. Obrađivač može obrađivati podatke i bez uputstva kada je na to obavezan zakonom, o čemu obaveštava Rukovaoca, osim kada je to zakonom zabranjeno.

• Obezbeđuje da su lica koja imaju pristup podacima obavezana na poverljivost.
• Primenjuje tehničke, organizacione i kadrovske mere zaštite iz Priloga 2 (član 50 ZZPL).
• Pomaže Rukovaocu, u meri u kojoj je to moguće, da odgovori na zahteve lica za ostvarivanje prava, a zahteve koje primi neposredno prosleđuje Rukovaocu bez odlaganja.
• Pomaže Rukovaocu u ispunjavanju obaveza iz članova 50 do 55 ZZPL (bezbednost, povreda podataka, procena uticaja i prethodno mišljenje Poverenika).
• Stavlja Rukovaocu na raspolaganje informacije potrebne za dokazivanje ispunjenosti obaveza iz ovog ugovora.

Obrađivač obaveštava Rukovaoca o povredi podataka o ličnosti bez nepotrebnog odlaganja, a najkasnije u roku od 48 časova od saznanja, kako bi Rukovalac mogao da u roku od 72 časa obavesti Poverenika (član 52 ZZPL). Obaveštenje sadrži opis povrede, kategorije i približan broj lica i podataka, verovatne posledice i preduzete mere.

Rukovalac daje opšte pisano odobrenje da Obrađivač angažuje podobrađivače navedene u Prilogu 1. O nameri da doda ili zameni podobrađivača Obrađivač obaveštava Rukovaoca najmanje 30 dana unapred; Rukovalac može u tom roku izjaviti obrazložen prigovor, a ako se ne postigne dogovor, otkazati uslugu bez naknade.

Obrađivač podobrađivače ugovorom obavezuje na iste obaveze zaštite podataka i odgovara Rukovaocu za njihov rad.

Podaci se čuvaju u regionu EU (Frankfurt, Nemačka). Prenos podataka podobrađivačima van Republike Srbije vrši se samo u skladu sa članovima 63 do 65 ZZPL, a kada država prijema nije na listi država sa primerenim nivoom zaštite, na osnovu standardnih ugovornih klauzula ili drugih odgovarajućih mera zaštite.

Po prestanku ugovora o korišćenju usluge Rukovalac može u roku od 30 dana da preuzme podatke. Nakon tog roka Obrađivač briše sve podatke Rukovaoca, osim ako je njihovo čuvanje propisano zakonom, a kopije u šifrovanim rezervnim kopijama nestaju najkasnije u roku od narednih 30 dana.

Rukovalac može, najviše jednom godišnje i uz najavu od najmanje 30 dana, sam ili preko ovlašćenog revizora obavezanog na poverljivost, proveriti ispunjenost obaveza Obrađivača, prvenstveno na osnovu dokumentacije koju Obrađivač stavlja na raspolaganje. Troškove kontrole snosi Rukovalac.

Rukovalac odgovara za zakonitost obrade, za postojanje pravnog osnova, za tačnost podataka koje unosi i za obaveštavanje lica o obradi (član 23 ZZPL), uključujući informaciju da podatke u njegovo ime obrađuje Obrađivač.

U pitanjima zaštite podataka o ličnosti ovaj ugovor ima prednost nad Uslovima korišćenja. Odgovornost strana uređena je ZZPL-om (član 86) i Uslovima korišćenja. Na ugovor se primenjuje pravo Republike Srbije, a za sporove je nadležan stvarno nadležni sud u Beogradu. Merodavan je tekst na srpskom jeziku.

Za Rukovaoca (ime, potpis, datum)

Za Obrađivača (ime, potpis, datum)

• Šifrovan prenos podataka (HTTPS, HSTS) i šifrovanje podataka u mirovanju kod pružaoca infrastrukture.
• Odvajanje podataka svakog Rukovaoca na nivou baze podataka (pravila pristupa po redovima) i pristup prema ulogama, po načelu najmanjih ovlašćenja.
• Dvofaktorska prijava za administratore platforme; lozinke se čuvaju isključivo kao kriptografski heš.
• Linkovi kojima klijenti upravljaju terminom čuvaju se samo kao heš i ne mogu se rekonstruisati iz baze.
• Dnevnik aktivnosti korisnika, bez podataka o ličnosti klijenata.
• Zaštita formulara od botova i ograničenje broja zahteva.
• Noćne rezervne kopije šifrovane javnim ključem čiji se privatni deo čuva van infrastrukture, u odvojenom skladištu, uz povremenu proveru oporavka.
• Uklanjanje e-mail adresa, brojeva telefona i pristupnih linkova iz izveštaja o greškama i zapisa.
• Redovno ažuriranje softvera, automatska provera poznatih ranjivosti i bezbednosna zaglavlja (CSP).
• Pisane procedure za incidente, oporavak i promenu pristupnih ključeva.