Ugovor o obradi osobnih podataka (čl. 28. GDPR-a)

Izvršitelj obrađuje osobne podatke kupaca i posjetitelja trgovine voditelja isključivo radi pružanja platforme (vođenje trgovine, narudžbi, plaćanja, fiskalizacije, e-pošte, cjenika i povezanih funkcija), za vrijeme trajanja Uvjeta korištenja i do brisanja podataka nakon njihova prestanka.

Obrada uključuje i uvoz podataka iz prethodne platforme trgovine na zahtjev voditelja (pokretanjem prijenosa s odabranim vrstama podataka) te privremenu pohranu pristupnog ključa stare trgovine do završetka prijenosa. Ključ se čuva šifriran, koristi samo za čitanje i briše najkasnije 14 dana nakon završetka prijenosa, odmah nakon prekida ili poništavanja prijenosa, a u svakom slučaju najkasnije 30 dana nakon povezivanja.

• Kategorije ispitanika: kupci, posjetitelji trgovine, pretplatnici na newsletter, osoblje voditelja.
• Vrste podataka: ime, e-mail, telefon, adrese za dostavu i račun, OIB tvrtke kupca, podaci o narudžbama i plaćanjima (bez podataka o kartici), korisnički račun, recenzije, bodovi vjernosti, izjave o raskidu, privole, tehnički podaci (IP adresa, identifikatori sesije).
• Posebne kategorije podataka platforma ne obrađuje; voditelj ih ne smije unositi.

• Obrađuje podatke samo prema dokumentiranim uputama voditelja — koje čine postavke i radnje voditelja u platformi i ovaj ugovor — uključujući prijenose u treće zemlje, osim ako mu obradu nalaže pravo EU-a ili Hrvatske (o čemu obavještava voditelja ako to nije zabranjeno).
• Osigurava da se osobe ovlaštene za obradu obvežu na povjerljivost.
• Provodi tehničke i organizacijske mjere iz Priloga 1 (čl. 32. GDPR-a).
• Pomaže voditelju u ispunjavanju zahtjeva ispitanika (alati za izvoz i brisanje podataka u administraciji i korisničkom računu) te u obvezama iz čl. 32.–36. GDPR-a.
• O povredi osobnih podataka obavještava voditelja bez nepotrebnog odgađanja, a najkasnije u roku od 48 sati od saznanja, s podacima potrebnima za prijavu nadzornom tijelu.
• Nakon prestanka ugovora, po izboru voditelja, vraća (izvoz) ili briše podatke u roku od 30 dana, osim ako ih mora čuvati po zakonu.
• Voditelju stavlja na raspolaganje informacije potrebne za dokazivanje usklađenosti i omogućuje revizije uz razumnu najavu, u pravilu jednom godišnje i o trošku voditelja.

Voditelj daje opće ovlaštenje za angažiranje podizvršitelja iz Priloga 2. O dodavanju ili zamjeni podizvršitelja izvršitelj obavještava voditelja e-poštom najmanje 30 dana unaprijed; voditelj može uložiti prigovor i, ako se ne nađe rješenje, raskinuti ugovor bez troškova. Izvršitelj podizvršiteljima nameće iste obveze zaštite podataka i odgovara za njihov rad.

Prijenos izvan EGP-a provodi se samo uz odluku o primjerenosti (uključujući Okvir EU-a i SAD-a za privatnost podataka) ili standardne ugovorne klauzule Europske komisije uz dodatne mjere, kako je navedeno u Prilogu 2.

Za štetu prema ispitanicima strane odgovaraju prema čl. 82. GDPR-a; u međusobnom odnosu primjenjuju se odredbe o odgovornosti iz Uvjeta korištenja.

• Odvajanje podataka trgovina na razini baze (sigurnost na razini retka po trgovini) i provjera ovlasti na poslužitelju.
• Šifriranje u prijenosu (TLS) i u mirovanju kod pružatelja baze; tajni podaci (lozinke poslužitelja e-pošte, certifikati za fiskalizaciju) dodatno šifrirani u aplikaciji.
• Najmanje potrebne ovlasti za osoblje, zasebni ključevi za produkcijsko okruženje, zaštita od prekomjernog broja zahtjeva.
• Redovite sigurnosne kopije kod pružatelja baze i mogućnost obnove.
• Zapisi o pogreškama bez sadržaja narudžbi; ograničeno čuvanje tehničkih zapisa.
• Postupak za povrede podataka i kontakt za sigurnosne prijave.