Ugovor o obradi narudžbe

Ovaj ugovor o obradi podataka ("DPA") sklapaju strane u vezi s obradom osobnih podataka prema glavnom ugovoru (u daljnjem tekstu "glavni ugovor"). Pružanje usluga prema glavnom ugovoru (“Usluge”) zahtijeva obradu podataka. Ako i u mjeri u kojoj se ti podaci sastoje ili sadrže osobne podatke, izvršitelj obrade djeluje kao izvršitelj obrade u odnosu na te podatke, dok voditelj obrade ostaje voditelj obrade tih podataka u skladu s člankom 28. Opće uredbe o zaštiti podataka (u daljnjem tekstu: GDPR).

Usluge pruža Izvršitelj obrade podataka na takav način da Voditelj obrade pruža vlastite podatke, kontrolira njihov prijenos Izvršitelju obrade podataka i, u slučaju modela softvera kao usluge (SaaS), izravno kontrolira rukovanje takvim podacima učitanim u Usluge. Voditelj obrade je suglasan i razumije da Izvršitelj obrade podataka ne nadzire podatke Voditelja obrade niti način na koji Voditelj obrade postupa s takvim podacima osim ako Voditelj obrade izričito ne zatraži pristup takvim podacima od Izvršitelja obrade podataka. Stoga je isključiva odgovornost i obveza Voditelja obrade osigurati da se podaci Voditelja obrade prikupljaju i prenose u skladu s važećim zakonima o zaštiti podataka, a posebice da za to postoji pravna osnova te da ispitanici budu pravilno informirani o prikupljanju i obradi svojih osobnih podataka.

Kao Izvršitelj obrade podataka, Izvršitelj obrade obrađuje samo osobne podatke Voditelja obrade u skladu s odredbama ovog Ugovora o obradi podataka (DPA) i dokumentiranim uputama Voditelja obrade. Ako se od izvršitelja obrade podataka zahtijeva pravo Unije ili pravo država članica kojima podliježe daljnja obrada osobnih podataka, izvršitelj obrade obavještava voditelja obrade o tim pravnim zahtjevima prije obrade, osim ako relevantno pravo zabranjuje takvu obavijest na temelju važnog javnog interesa; u potonjem slučaju izvršitelj obrade obavještava voditelja obrade o daljnjoj obradi čim je to zakonski dopušteno. Izvršitelj obrade podataka dužan je osigurati i redovito provjeravati da se obrada Osobnih podataka unutar područja njegove odgovornosti, uključujući sve podizvršitelje obrade koje je angažirao, provodi u skladu s odredbama ovog DPA-a, važećim zakonima o zaštiti podataka, a posebno GDPR-om.

Pojedinosti obrade opisane su u sljedećim odredbama i u glavnom ugovoru. Voditelj obrade će, uzimajući u obzir svoje obveze kao voditelja obrade, obavijestiti izvršitelja obrade ako je potrebno dopuniti odredbe iz glavnog ugovora.

Izvršitelj obrade će obrađivati osobne podatke kako je opisano u Glavnom ugovoru.

Izvršitelj obrade će općenito obrađivati osobne podatke za vrijeme trajanja glavnog ugovora i ovog ugovora o obradi, osim ako nije drugačije dogovoreno u pisanom obliku.

Izvršitelj obrade Osobne podatke obrađuje isključivo u svojim prostorijama ili u prostorijama svojih ovlaštenih podizvršitelja obrade. Sve radnje obrade u pravilu se provode u državama članicama Europske unije ili u drugoj državi koja je stranka Ugovora o Europskom gospodarskom prostoru.

Svaka obrada osobnih podataka izvan EU/EEA dopuštena je samo uz prethodni dogovor između stranaka i samo ako su ispunjeni zahtjevi iz članka 44. i sljedećih. GDPR su ispunjeni.

Strane su suglasne da ovaj DPA sadrži opće upute Voditelja obrade u vezi s obradom Osobnih podataka u ime Izvršitelja obrade.

Sve posebne upute Voditelja obrade koje odstupaju od odredbi ovog Ugovora o obradi podataka ili nameću nove, dodatne obveze Izvršitelju obrade zahtijevaju pristanak Izvršitelja obrade da bi bile učinkovite. Za takve posebne upute, strane će primijeniti postupak izmjena dogovoren u glavnom ugovoru, ako je primjenjiv.

Odgovornost Voditelja obrade je osigurati da su upute koje daje u vezi s obradom osobnih podataka u ime Voditelja obrade u skladu s primjenjivim zakonima o zaštiti podataka i da Izvršitelj obrade može obrađivati osobne podatke u skladu s tim uputama bez kršenja primjenjivih zakona o zaštiti podataka, posebno GDPR-a. Ako Izvršitelj obrade smatra da uputa Voditelja obrade krši važeće zakone o zaštiti podataka, Izvršitelj obrade će o tome obavijestiti Voditelja obrade. U takvim slučajevima izvršitelj obrade ima pravo odbiti izvršiti naputak dok ga voditelj obrade ne potvrdi.

Posebne upute odgovorne osobe moraju dati u pisanom ili tekstualnom obliku od strane osoba koje su za to ovlaštene u ime odgovorne osobe. Upute dane usmeno moraju biti odmah potvrđene od strane jedne od ovlaštenih osoba i to najmanje u tekstualnom obliku kako bi bile učinkovite.

Zaposlenici izvršitelja obrade podataka: (i) u mjeri u kojoj su ovlašteni za obradu osobnih podataka, obvezni su čuvati povjerljivost ili podliježu odgovarajućoj zakonskoj obvezi povjerljivosti; (ii) obrađivati ​​osobne podatke samo u skladu s uputama izvršitelja obrade podataka, osim ako postoji obveza obrade na drugi način prema primjenjivim zakonima o zaštiti podataka; i (iii) bit će redovito obaviješteni o obvezama prema ovom DPA-u i primjenjivim zakonima o zaštiti podataka, posebice GDPR-u.

Izvršitelj obrade ne smije izrađivati kopije ili duplikate osobnih podataka koji se obrađuju u ime voditelja obrade bez prethodne suglasnosti voditelja obrade. Ovo isključuje kopije koje su potrebne za osiguranje pravilne obrade podataka i odgovarajuće pružanje usluga (uključujući sigurnosno kopiranje podataka), kao i kopije koje su potrebne za ispunjavanje zakonskih obveza zadržavanja.

Izvršitelj obrade imenuje obrazovanog i pouzdanog službenika za zaštitu podataka ako i sve dok postoje zakonski uvjeti za imenovanje službenika za zaštitu podataka. Izvršitelj obrade daje voditelju obrade podatke za kontakt tako imenovanog službenika za zaštitu podataka.

Prije početka obrade procesor podataka provodi sljedeće www.fitness-nation.com/support/tom.html tehničke i organizacijske mjere navedene i održava ih tijekom cijelog trajanja ovog ugovora o obradi naloga. Ove tehničke i organizacijske mjere osmišljene su kako bi se osigurala razina sigurnosti primjerena riziku u smislu povjerljivosti, cjelovitosti, dostupnosti i otpornosti sustava. Moraju se uzeti u obzir stanje tehnike, troškovi provedbe kao i priroda, opseg, kontekst i svrhe obrade, kao i različita vjerojatnost i ozbiljnost rizika za prava i slobode fizičkih osoba u smislu članka 32. stavka 1. GDPR-a.

Budući da su tehničke i organizacijske mjere podložne tehničkom napretku i tehnološkom razvoju, Izvršitelju obrade podataka dopušteno je primijeniti alternativne i odgovarajuće mjere, pod uvjetom da to ne rezultira sigurnosnim standardom koji nije niži od dolje navedenog. www.fitness-nation.com/support/tom.html navedeno.

Izvršitelj obrade može angažirati podizvršitelje obrade za obradu osobnih podataka u ime Voditelja obrade samo uz prethodnu suglasnost Voditelja obrade. Odgovorna osoba ovime daje svoj pristanak za korištenje sljedećeg www.fitness-nation.com/support/subunternehmen.html navedeni podprocesori.

Izvršitelj obrade podataka nameće svakom Podizvršitelju obrade obveze zaštite podataka, povjerljivosti i sigurnosti podataka koje su barem jednako stroge kao obveze Izvršitelja obrade podataka prema Voditelju obrade navedene u ovom Ugovoru o obradi. Ako podizvršitelj obrade ne ispuni ove obveze koje su mu nametnute, izvršitelj obrade podataka bit će odgovoran za ta kršenja kao da su njegova vlastita krivnja.

Izvršitelj obrade pismeno će obavijestiti Voditelja obrade o svakom novom angažmanu podizvršitelja obrade. Ako se voditelj obrade usprotivi ustupanju u roku od trideset (30) dana od primitka takve obavijesti, navodeći opravdan razlog, strane će tražiti sporazumno rješenje. U tom slučaju, ako se u roku od dva (2) mjeseca ne može pronaći sporazumno rješenje, Voditelj obrade ima pravo raskinuti glavni ugovor u odnosu na one usluge za koje je potrebno angažiranje predloženog podizvršitelja obrade.

Strane su suglasne da pružatelji pukih pomoćnih usluga nisu obrađivači podataka u smislu zakona o zaštiti podataka; To posebno uključuje usluge prijevoza koje pružaju poštanske ili kurirske službe, kao i usluge prijevoza gotovine, telekomunikacijske usluge, zaštitarske usluge i usluge čišćenja. Bez obzira na prethodno navedeno, Izvršitelj obrade podataka će s takvim podizvođačima sklopiti ugovore o povjerljivosti prema industrijskim standardima.

Odredbe ovog odjeljka 7. također se primjenjuju ako je podurađivač angažiran u trećoj zemlji izvan EU-a ili EGP-a. Podložno privoli Voditelja obrade za korištenje podizvršitelja obrade, Voditelj obrade ovime ovlašćuje Izvršitelja obrade da sklopi ugovor u ime Voditelja obrade s podizvršiteljem obrade koji obrađuje podatke Voditelja obrade izvan EU ili EGP-a, uključujući standardne ugovorne klauzule EU za prijenos osobnih podataka izvršiteljima obrade u trećim zemljama od 5. veljače 2010. ili, ako je primjenjivo, standardne klauzule o zaštiti podataka koje je naknadno usvojila Komisija EU ili relevantno nadzorno tijelo.

Na pisani zahtjev Voditelja obrade, Izvršitelj obrade će Voditelju obrade pružiti odgovarajuću pomoć u slučaju istrage ili zahtjeva od strane nadzornog tijela za zaštitu podataka, u mjeri u kojoj se takva istraga ili zahtjev odnosi na Usluge. Izvršitelj obrade će Voditelju obrade pružiti razumnu pomoć u ispunjavanju svih obveza u vezi s takvom istragom ili zahtjevom. Ako nadzorno tijelo za zaštitu podataka pokrene istragu izravno s Izvršiteljem obrade ili podnese odgovarajući zahtjev izravno Izvršitelju obrade, Izvršitelj obrade će, u dopuštenoj mjeri, odmah obavijestiti Voditelja obrade i surađivati ​​s takvom istragom ili zahtjevom.

Izvršitelj obrade obavijestit će Voditelja obrade bez neopravdanog odgađanja ako otkrije povredu osobnih podataka u vezi s obradom Osobnih podataka prema ovom Ugovoru o obradi podataka. Ako, kao rezultat takve obavijesti, Voditelj obrade podliježe obvezi izvješćivanja nadzornim tijelima za zaštitu podataka i/ili subjektima podataka (osobito prema člancima 33. i 34. GDPR-a), Izvršitelj obrade će Voditelju obrade pružiti odgovarajuću i potrebnu pomoć u ispunjavanju ovih obveza izvješćivanja. U mjeri u kojoj Izvršitelj obrade nije odgovoran za povredu podataka koja se može prijaviti, Izvršitelj obrade ima pravo naplatiti usluge podrške u skladu sa stopama naknade dogovorenim u glavnom ugovoru.

Izvršitelj obrade će pomoći Voditelju obrade, uzimajući u obzir prirodu obrade i informacije dostupne Izvršitelju obrade, u bilo kojoj procjeni učinka na zaštitu podataka koju će Voditelj obrade možda trebati provesti u vezi s obradom osobnih podataka, uključujući, prema potrebi, savjetovanje s relevantnim nadzornim tijelom za zaštitu podataka (članci 35. i 36. GDPR-a). Izvršitelj obrade ima pravo naplatiti usluge podrške u skladu sa stopama naknade dogovorenim u glavnom ugovoru.

Izvršitelj obrade će bez neopravdanog odgađanja obavijestiti Voditelja obrade ako ispitanik kontaktira Izvršitelja obrade izravno radi podnošenja pritužbe, zahtjeva ili ostvarivanja svojih prava. Izvršitelj obrade ne odgovara na sam zahtjev osim ako Voditelj obrade nije izričito naložio Izvršitelju obrade da to učini. Izvršitelj obrade će Voditelju obrade pružiti odgovarajuću pomoć u odgovoru na takve pritužbe, upite i zahtjeve ispitanika. Obrađivač ima pravo naplatiti pruženu podršku u skladu sa stopama naknade dogovorenim u glavnom ugovoru.

Po razumnim uputama Voditelja obrade, tijekom trajanja ovog Ugovora o obradi podataka (DPA) ili nakon njegovog raskida ili nakon prekida obrade Osobnih podataka prema relevantnom Posebnom ugovoru, Izvršitelj obrade će uništiti, izbrisati ili vratiti podatke obrađene u ime Voditelja obrade. Ako važeći zakoni sprječavaju Izvršitelja obrade da uništi, izbriše ili vrati osobne podatke obrađene u ime Voditelja obrade, Izvršitelj obrade će unatoč tome prestati aktivno obrađivati takve podatke, ali će ih nastaviti pohranjivati samo u skladu sa zakonskim zahtjevima, posebno zakonskim obvezama zadržavanja, te će ih uništiti, izbrisati ili vratiti Voditelju obrade čim zakonska zapreka više ne postoji, u skladu s izvornim uputama Voditelja obrade.

Izvršitelj obrade izrađuje dokaz o svakom uništenju ili brisanju osobnih podataka koji se na zahtjev stavlja na raspolaganje voditelju obrade.

Voditelj obrade ima pravo, tijekom redovnog radnog vremena (od ponedjeljka do petka od 9:00 do 17:00 sati), o svom trošku, bez ometanja poslovanja i uz strogo poštivanje povjerljivosti poslovne tajne i poslovne tajne Izvršitelja obrade, ući u prostorije Izvršitelja obrade u kojima se obrađuju podaci Voditelja obrade, radi provjere poštivanja ovog Ugovora o obradi narudžbe. Kontrolor će općenito dostaviti dovoljnu obavijest (najmanje dva tjedna unaprijed) o takvoj inspekciji na licu mjesta.

Odgovorna osoba u pravilu ima pravo na jedan nadzor na licu mjesta u kalendarskoj godini, kako je navedeno u prethodnom stavku. To ne utječe na pravo kontrolora da provede daljnje izravne inspekcije u slučaju posebnih incidenata.

Ako Voditelj obrade povjeri trećoj strani da izvrši pregled, Voditelj obrade mora treću stranu obvezati pisanim putem u istoj mjeri u kojoj je Voditelj obrade obvezan Izvršitelju obrade prema ovom Ugovoru o obradi podataka. Nadalje, odgovorna osoba mora obvezati treću stranu na čuvanje povjerljivosti i tajnosti, osim ako treća strana ne podliježe profesionalnoj obvezi povjerljivosti. Na zahtjev izvršitelja obrade, voditelj obrade mora izvršitelju obrade odmah dostaviti ugovore o povjerljivosti podataka s trećom stranom. Odgovorna osoba ne smije angažirati konkurenta prerađivača za provođenje testa.

Umjesto inspekcije na licu mjesta, dokaz o usklađenosti s ovim DPA-om također se može pružiti kroz usklađenost s odobrenim kodeksima ponašanja u skladu s člankom 40. GDPR-a, certifikacijom prema odobrenom mehanizmu certificiranja u skladu s člankom 42. GDPR-a ili pružanjem odgovarajućeg, važećeg certifikata, izvješća ili izvadaka iz izvješća neovisnih tijela (npr. revizor, interna revizija, službenik za zaštitu podataka, odjel za IT sigurnost, auditor za zaštitu podataka ili auditor kvalitete) ili odgovarajuću certifikaciju kroz reviziju IT sigurnosti ili zaštite podataka - npr. B. u skladu s ISO 27001 - ("Izvješće o ispitivanju"), pod uvjetom da Izvješće o ispitivanju omogućuje Voditelju da bude razumno zadovoljan usklađenošću s ovim DPA-om.

Ako i u mjeri u kojoj izravni pregled nije uzrokovan nedoličnim ponašanjem od strane izvršitelja obrade, izvršitelj obrade ima pravo naplatiti troškove nastale tijekom nadzora na licu mjesta u skladu sa stopama naknade dogovorenim u glavnom ugovoru.

Na ove Opće odredbe i uvjete primjenjuje se isti zakon kao i na Glavni ugovor, a sudovi o kojima su se strane dogovorile u Glavnom ugovoru imat će isključivu nadležnost za sve sporove proizašle iz ili u vezi s ovim Općim uvjetima.

Izmjene ili dopune ovih općih upravnih propisa vrijede samo u pisanom obliku.

Ako bilo koja odredba ovih Uvjeta i odredbi bude proglašena nevažećom ili neprovedivom od strane nadležnog suda, preostale odredbe će ostati na snazi i učinku.

Ovaj Ugovor o obradi podataka (DPA) stupa na snagu sklapanjem glavnog ugovora koji je njegov sastavni dio. Ostaje na snazi ​​bez obzira na kraj trajanja glavnog ugovora do i automatski istječe čim izvršitelj obrade podataka i/ili svi ovlašteni podobrađivači izbrišu sve osobne podatke.