Dogovor o obdelavi osebnih podatkov

1. Namen in uporaba DPA

Ta Dogovor o obdelavi osebnih podatkov (DPA) ureja B2B razmerje med stranko kot upravljavcem in Programiranje, informatika in druge storitve, Francis Pogačić s.p. kot ponudnikom Crestide ter obdelovalcem, kadar Crestide za stranko obdeluje osebne podatke, in izpolnjuje zahteve 28. člena GDPR.

DPA postane del poslovnega razmerja, ko ga pooblaščeni predstavnik stranke potrdi v postopku organizacijskega onboardinga oziroma na drug dokumentiran pisni ali elektronski način. DPA velja toliko časa, kolikor Crestide v okviru storitve obdeluje osebne podatke v imenu stranke.

Crestide evidenco sprejema DPA vodi na ravni organizacije; dodelitev ali odvzem vloge Lastnik sama po sebi ne pomeni nove potrditve DPA. Vloga Lastnik je organizacijska pravica dostopa in upravljanja.

2. Predmet, narava in namen obdelave

Predmet obdelave je zagotavljanje gostovane poslovne storitve Crestide in funkcionalnosti, ki jih stranka uporablja za organizacije, projekte, člane, naloge, zgodovino dela, dokazna gradiva in operativna obvestila. Narava obdelave lahko vključuje zbiranje, zapisovanje, urejanje, shranjevanje, prikazovanje, iskanje, prenos, varnostno kopiranje, omejevanje in izbris podatkov, kolikor je to potrebno za storitev.

Namen obdelave določa stranka z uporabo dogovorjenih funkcionalnosti Crestide. Crestide osebnih podatkov stranke ne uporablja za lastne nepovezane namene.

3. Kategorije posameznikov in podatkov

Posamezniki lahko vključujejo zaposlene, sodelavce, predstavnike stranke in druge osebe, katerih podatke stranka zakonito vnese v storitev. Osebni podatki lahko vključujejo identifikacijske in kontaktne podatke, organizacijske vloge in dostope, podatke o projektih in nalogah, časovne oziroma delovne zapise, operativne dogodke, dokazna gradiva ter druge podatke, ki jih stranka vnese v dogovorjeni obseg storitve.

Stranka je odgovorna, da posebnih vrst osebnih podatkov ali drugih občutljivih podatkov ne vnaša brez ustrezne pravne podlage in dogovorjenega namena obdelave.

4. Navodila stranke

Crestide osebne podatke obdeluje samo po dokumentiranih navodilih stranke, vključno z navodili, ki izhajajo iz uporabe konfiguriranih funkcionalnosti in tega DPA, razen če obdelavo zahteva pravo Evropske unije ali države članice, ki velja za ponudnika. V takem primeru Crestide stranko pred obdelavo obvesti o tej pravni zahtevi, kadar zakon takšnega obvestila ne prepoveduje.

Če Crestide meni, da navodilo stranke krši GDPR ali drugo relevantno pravo varstva osebnih podatkov, o tem brez nepotrebnega odlašanja obvesti stranko.

5. Zaupnost in varnost obdelave

Osebe, ki so pooblaščene za obdelavo osebnih podatkov pri Crestide, so zavezane k zaupnosti oziroma jih zavezuje ustrezna zakonska obveznost zaupnosti. Ta zaupnost velja tudi po prenehanju njihovega dostopa, kolikor to zahteva pogodba ali pravo.

Crestide izvaja primerne tehnične in organizacijske ukrepe glede na tveganje, med drugim nadzor dostopa, ločevanje organizacijskih delovnih okolij, zaščito avtentikacije in sej, omejevanje dostopa do produkcijskih sistemov, beleženje varnostno pomembnih dogodkov, upravljanje ranljivosti in posodobitev ter ukrepe za razpoložljivost in obnovo storitve.

6. Nadaljnji obdelovalci

Za uporabo nadaljnjih obdelovalcev mora Crestide predhodno pridobiti posebno ali splošno pisno dovoljenje stranke v skladu z 28. členom GDPR. Kadar je v postopku organizacijskega onboardinga potrebna potrditev DPA, pooblaščeni predstavnik stranke z izrecno potrditvijo tega DPA v elektronski obliki poda tudi splošno pisno dovoljenje za uporabo trenutno navedenih nadaljnjih obdelovalcev.

Crestide evidentira različico potrjenega DPA, različico seznama nadaljnjih obdelovalcev, organizacijo, uporabnika in čas potrditve. Če je DPA s stranko sklenjen na drug dokumentiran način, se dovoljenje za nadaljnje obdelovalce uredi v takem dogovoru.

Na podlagi splošnega pisnega dovoljenja lahko Crestide uporablja navedene nadaljnje obdelovalce. Crestide stranko pred nameravanim dodajanjem ali zamenjavo nadaljnjega obdelovalca ustrezno obvesti in ji omogoči, da spremembi ugovarja.

Crestide z nadaljnjimi obdelovalci zagotovi obveznosti varstva osebnih podatkov, ki so glede zadevne obdelave vsebinsko primerljive z obveznostmi iz tega DPA. Crestide ostaja odgovoren stranki za izpolnitev obveznosti nadaljnjega obdelovalca v obsegu, ki ga določa GDPR.

7. Mednarodni prenosi

Primarna produkcijska infrastruktura Crestide je v regiji Amsterdam, Nizozemska (ams). Podpora ali nadaljnja obdelava pri infrastrukturnih ponudnikih lahko v skladu z njihovimi DPA vključuje druge jurisdikcije.

Pri transakcijski e-pošti prek Plus Five Five, Inc. (Resend) lahko obdelava vključuje Združene države Amerike. Kadar pride do prenosa osebnih podatkov zunaj Evropskega gospodarskega prostora, Crestide uporablja veljaven mehanizem prenosa in ustrezne zaščitne ukrepe ponudnika.

8. Pomoč stranki

Ob upoštevanju narave obdelave Crestide z ustreznimi tehničnimi in organizacijskimi ukrepi pomaga stranki pri izpolnjevanju obveznosti glede zahtev posameznikov za uveljavljanje pravic. Pri zahtevah posameznikov Crestide zahtevo, ki se nanaša na podatke, za katere je stranka upravljavec, brez nepotrebnega odlašanja posreduje oziroma usmeri stranki, kadar je to razumno mogoče.

Crestide stranki ob upoštevanju narave obdelave in razpoložljivih informacij razumno pomaga tudi pri obveznostih glede varnosti, presoje tveganj, prijav in obravnave incidentov, obveščanja posameznikov in ocene učinka na varstvo podatkov, kadar so te obveznosti relevantne za uporabo storitve. Pri kršitvah varstva osebnih podatkov se uporabljajo tudi posebne obveznosti obveščanja iz naslednjega poglavja.

9. Kršitve varstva osebnih podatkov

Ko Crestide kot obdelovalec izve za kršitev varstva osebnih podatkov, ki zadeva podatke stranke, stranko obvesti brez nepotrebnega odlašanja in ji posreduje razpoložljive informacije, ki jih razumno potrebuje za izpolnitev svojih obveznosti po GDPR. Obvestilo samo po sebi ne pomeni priznanja odgovornosti ali napake.

10. Prenehanje, izbris ali vrnitev

Ob prenehanju storitve se podatki obravnavajo skladno z dogovorjenim življenjskim ciklom. Kadar produkt to omogoča, lahko po odpovedi sledi 30-dnevno obdobje za prevzem razpoložljivih podatkov. Nato Crestide na izbiro stranke oziroma skladno z življenjskim ciklom izvede izbris ali vrnitev osebnih podatkov ter izbriše obstoječe kopije, razen kadar pravo zahteva nadaljnjo hrambo ali velja zakonito zadržanje izbrisa.

11. Informacije in revizija

Crestide stranki na razumno zahtevo zagotovi informacije, potrebne za izkazovanje izpolnjevanja obveznosti iz 28. člena GDPR, ter omogoči revizijo oziroma pregled in k njemu prispeva v obsegu, ki ga zahteva GDPR. Stranka in Crestide se predhodno dogovorita o razumnem obsegu, času, varnostnih omejitvah in načinu izvedbe, da pregled neupravičeno ne ogrozi drugih strank ali varnosti storitve.

12. Razmerje do drugih dogovorov

Ta DPA dopolnjuje Pogoje uporabe in morebitni poseben komercialni dogovor. Če je glede varstva osebnih podatkov določba posebnega pisnega DPA med stranko in Crestide drugačna, se za zadevno vprašanje uporabi tak poseben dogovor.