Ugovor o obradi podataka

Ovaj Ugovor o obradi podataka („DPA“) sastavni je dio Uvjeta korištenja yAppointmenta („Uvjeti“). Sklapa se između poslovnog klijenta koji koristi yAppointment („Voditelj obrade“) i društva LohiSoft s. r. o. („Izvršitelj obrade“, „mi“): • Komenskeho 317/135, 943 01 Štúrovo, Slovačka Republika; • matični broj (IČO) 53253914; • porezni broj SK2121316725; • e-pošta: info@yappointment.com. Prihvaćanjem Uvjeta Voditelj obrade prihvaća i ovaj DPA. Ovaj DPA primjenjuje se kad god Izvršitelj obrade obrađuje osobne podatke u ime Voditelja obrade pri pružanju platforme yAppointment („Usluga“). Pojmovi „osobni podaci“, „obrada“, „voditelj obrade“, „izvršitelj obrade“, „ispitanik“, „povreda osobnih podataka“ i „nadzorno tijelo“ imaju značenje utvrđeno u Uredbi (EU) 2016/679 („GDPR“).

1.1 Za osobne podatke koje Voditelj obrade ili njegovi krajnji klijenti unose u Uslugu („Osobni podaci klijenata“), Voditelj obrade je voditelj obrade, a Izvršitelj obrade njegov izvršitelj obrade. Primjeri su evidencije klijenata, rezervacije, računi, podaci programa vjernosti i recenzije. 1.2 Za podatke koji su Izvršitelju obrade potrebni za obavljanje vlastitog poslovanja, Izvršitelj obrade djeluje kao samostalni voditelj obrade u skladu sa svojom Politikom privatnosti (https://yappointment.com/privacy). Primjeri su podaci o računu i podaci za naplatu Voditelja obrade, analitika prodajne web stranice i sprječavanje prijevara. Ovaj DPA ne obuhvaća tu obradu. 1.3 Voditelj obrade odgovoran je za zakonitost obrade koju nalaže. To uključuje postojanje pravne osnove, informiranje njegovih krajnjih klijenata i pribavljanje svih potrebnih privola, primjerice za marketinške SMS poruke.

2.1 Predmet: hosting i obrada Osobnih podataka klijenata radi pružanja Usluge. 2.2 Trajanje: razdoblje važenja Uvjeta, a nakon toga do brisanja podataka u skladu s odjeljkom 11. 2.3 Priroda obrade: • prikupljanje putem stranica za rezervacije, portala za klijente, widgeta i API-ja; • pohrana, organizacija, pronalaženje i prikaz; • prijenos e-poštom, SMS-om i push obavijestima; • izrada računa i izvješća; • neobavezne funkcionalnosti potpomognute umjetnom inteligencijom; • izvoz i brisanje. 2.4 Svrha: pružanje Usluge kako je opisana u Uvjetima i kako ju je konfigurirao Voditelj obrade. To obuhvaća zakazivanje termina, upravljanje klijentima, komunikaciju, plaćanja, izdavanje računa, programe vjernosti, recenzije i povezane funkcije upravljanja poslovanjem. 2.5 Kategorije ispitanika i osobnih podataka navedene su u Prilogu I.

3.1 Izvršitelj obrade obrađuje Osobne podatke klijenata samo prema zabilježenim uputama Voditelja obrade, među ostalim s obzirom na prijenose u treće zemlje. Te upute čine Uvjeti, ovaj DPA te način na koji Voditelj obrade koristi i konfigurira Uslugu. 3.2 Izvršitelj obrade može obrađivati Osobne podatke klijenata i kada to zahtijeva pravo Unije ili pravo države članice. U tom slučaju o tome obavještava Voditelja obrade prije obrade, osim ako to pravo zabranjuje takvo obavještavanje. 3.3 Izvršitelj obrade bez odgode obavještava Voditelja obrade ako smatra da se nekom uputom krši GDPR ili drugi propisi o zaštiti podataka.

Izvršitelj obrade osigurava da su se osobe koje ovlasti za obradu Osobnih podataka klijenata obvezale na poštovanje povjerljivosti ili da podliježu zakonskim obvezama povjerljivosti. Pristup je ograničen na osobe kojima je potreban za pružanje, podršku ili zaštitu Usluge.

5.1 Izvršitelj obrade provodi odgovarajuće tehničke i organizacijske mjere u skladu s člankom 32. GDPR-a, kako su opisane u Prilogu II. Mjere uzimaju u obzir: • najnovija dostignuća; • troškove provedbe; • prirodu, opseg, kontekst i svrhe obrade. 5.2 Izvršitelj obrade može ažurirati te mjere, pod uvjetom da se ukupna razina zaštite ne smanji.

6.1 Opće odobrenje. Voditelj obrade daje Izvršitelju obrade opće pisano odobrenje za angažiranje podizvršitelja obrade. Podizvršitelji obrade koji se koriste na datum ovog DPA-a navedeni su u Prilogu III i na https://yappointment.com/dpa#annexIII. 6.2 Obavijest i prigovor. 1. Izvršitelj obrade obavještava Voditelja obrade najmanje 30 dana prije dodavanja ili zamjene podizvršitelja obrade. Obavijest šalje e-poštom vlasniku računa i ažurira javni popis. 2. U tom roku Voditelj obrade može iz opravdanih razloga povezanih sa zaštitom podataka uložiti prigovor pisanim putem na info@yappointment.com. 3. Strane će o prigovoru raspraviti u dobroj vjeri. 4. Ako ga ne uspiju riješiti, Voditelj obrade može otkazati pogođeni dio Usluge prije nego što promjena stupi na snagu. Izvršitelj obrade razmjerno vraća unaprijed plaćene naknade za razdoblje nakon prestanka. 6.3 Prenošenje obveza. Izvršitelj obrade svakom podizvršitelju obrade pisanim ugovorom nameće obveze zaštite podataka koje su u bitnome jednake onima iz ovog DPA-a. Izvršitelj obrade i dalje odgovara Voditelju obrade za izvršavanje obveza svojih podizvršitelja obrade. 6.4 Usluge koje odabere Voditelj obrade. Neke integracije Voditelj obrade odabire, povezuje i ugovara izravno. Ti pružatelji nisu podizvršitelji obrade Izvršitelja obrade. To uključuje: • softver za izdavanje računa ili računovodstvo; • vlastiti poslužitelj e-pošte Voditelja obrade; • aplikaciju SMS Gateway koja radi na vlastitom telefonu Voditelja obrade; • vlastiti račun Voditelja obrade kod pružatelja usluga plaćanja. Povezivanjem neke od njih Voditelj obrade nalaže Izvršitelju obrade da joj šalje relevantne podatke.

7.1 Uzimajući u obzir prirodu obrade, Izvršitelj obrade pomaže Voditelju obrade odgovarajućim tehničkim i organizacijskim mjerama u odgovaranju na zahtjeve ispitanika na temelju poglavlja III. GDPR-a. U Usluzi: • Voditelj obrade može pregledavati, ispravljati i brisati evidencije klijenata; • Voditelj obrade može izvesti podatke svoje tvrtke; • krajnji klijenti s računom na portalu mogu izvesti i izbrisati vlastite podatke. 7.2 Ako Izvršitelj obrade izravno od ispitanika primi zahtjev u vezi s Osobnim podacima klijenata, prosljeđuje ga Voditelju obrade bez nepotrebne odgode. Sam na njega ne odgovara, osim ako ga Voditelj obrade na to ovlasti.

Izvršitelj obrade pruža razumnu pomoć u ispunjavanju obveza Voditelja obrade iz članaka 32. – 36. GDPR-a: sigurnost, izvješćivanje o povredama, procjene učinka na zaštitu podataka i prethodno savjetovanje. Pomoć uzima u obzir prirodu obrade i informacije dostupne Izvršitelju obrade.

9.1 Poslužitelji Usluge nalaze se u Europskoj uniji. 9.2 Neki podizvršitelji obrade nalaze se izvan EGP-a ili mogu odande pristupati podacima (vidi Prilog III). Za takve prijenose Izvršitelj obrade oslanja se na jedan od sljedećih mehanizama: • odluku Europske komisije o primjerenosti, uključujući okvir EU–US Data Privacy Framework za certificirane primatelje; • standardne ugovorne klauzule donesene Provedbenom odlukom Komisije (EU) 2021/914, modul 3 (izvršitelj obrade – izvršitelju obrade); • drugi mehanizam prijenosa u skladu s poglavljem V. GDPR-a. Izvršitelj obrade prema potrebi primjenjuje i dodatne mjere.

10.1 Izvršitelj obrade bez nepotrebnog odgađanja, a u svakom slučaju u roku od 48 sati nakon što sazna za povredu osobnih podataka koja se odnosi na Osobne podatke klijenata, o tome obavještava Voditelja obrade. Obavijest se šalje na adresu e-pošte vlasnika računa. 10.2 Obavijest sadržava, u mjeri u kojoj su informacije tada dostupne: • prirodu povrede; • kategorije i približan broj dotičnih ispitanika i zapisa; • vjerojatne posljedice; • poduzete ili predložene mjere; • kontaktnu točku. Informacije koje još nisu dostupne pružaju se postupno, bez daljnjeg nepotrebnog odgađanja. 10.3 Izvršitelj obrade poduzima razumne korake za ograničavanje i otklanjanje povrede te je dokumentira. Izvješćivanje nadzornih tijela i obavještavanje ispitanika ostaje odgovornost Voditelja obrade. Izvršitelj obrade pomaže kako je opisano u odjeljku 8.

11.1 Dok su Uvjeti na snazi, Voditelj obrade može u bilo kojem trenutku izvesti podatke svoje tvrtke unutar Usluge. 11.2 Nakon prestanka Uvjeta Voditelj obrade ima 30 dana za izvoz svojih podataka. Izvršitelj obrade e-poštom obavještava vlasnika računa da je to razdoblje započelo i kada će se provesti brisanje. 11.3 Po isteku razdoblja od 30 dana Izvršitelj obrade automatski briše Osobne podatke klijenata iz svojih produkcijskih sustava: • datoteke pohranjene za Voditelja obrade brišu se; • podaci o klijentima i osoblju Voditelja obrade brišu se; • ako se sam zapis mora čuvati u skladu s odjeljkom 11.4, osobni podaci u njemu umjesto toga se anonimiziraju. 11.4 Čuva se zbog zakonske obveze čuvanja: • računi i druge računovodstvene isprave; • blagajnički dnevnik; • zapisi o zaštiti od neovlaštenih izmjena koje zahtijevaju fiskalni propisi, primjerice NF525. Izvršitelj obrade čuva ih samo tijekom zakonski propisanog razdoblja i ne koristi ih ni u koju drugu svrhu. 11.5 Ranije brisanje. Voditelj obrade može zatražiti brisanje prije isteka razdoblja putem funkcije samostalnog brisanja računa ili pisanim putem na info@yappointment.com. Brisanje tada započinje nakon razdoblja za predomišljanje od 72 sata, tijekom kojeg se zahtjev može povući. 11.6 Sigurnosne kopije. Sigurnosne kopije slijede upravljanu rotaciju sigurnosnih kopija pružatelja baze podataka. Kopije izbrisanih podataka u sigurnosnim kopijama ne vraćaju se ni u koju svrhu i istječu s tom rotacijom.

12.1 Izvršitelj obrade Voditelju obrade stavlja na raspolaganje informacije potrebne za dokazivanje usklađenosti s člankom 28. GDPR-a. Na zahtjev to uključuje opis njegovih sigurnosnih mjera i aktualni popis podizvršitelja obrade. 12.2 Ako te informacije nisu dostatne, Voditelj obrade može provesti reviziju usklađenosti Izvršitelja obrade s ovim DPA-om. Reviziju provodi Voditelj obrade ili neovisni revizor obvezan na povjerljivost, pod sljedećim uvjetima: • najviše jednom u 12 mjeseci; • na trošak Voditelja obrade; • uz pisanu obavijest najmanje 30 dana unaprijed. 12.3 Revizije se prvenstveno provode kao pregled dokumentacije, na temelju upitnika i informacija iz odjeljka 12.1. Revizije na licu mjesta provode se samo: • kada to zahtijeva nadzorno tijelo; ili • nakon povrede osobnih podataka koja se odnosi na podatke Voditelja obrade. Provode se tijekom uobičajenog radnog vremena, bez ometanja Usluge i bez ugrožavanja podataka drugih klijenata ili sigurnosti Izvršitelja obrade. 12.4 Podizvršitelji obrade revidiraju se putem njihovih vlastitih certifikata i izvješća, kada su dostupni.

Odgovornost svake strane na temelju ovog DPA-a ili u vezi s njim podliježe odjeljku „Ograničenje odgovornosti“ Uvjeta. Taj odjeljak ograničava ukupnu odgovornost na iznos plaćen u 12 mjeseci prije podnošenja zahtjeva. Time se ne ograničava odgovornost nijedne strane prema ispitanicima na temelju članka 82. GDPR-a, niti bilo koja odgovornost koja se ne može ograničiti zakonom.

14.1 Ako je ovaj DPA u suprotnosti s Uvjetima, u pogledu obrade Osobnih podataka klijenata prednost ima ovaj DPA. Kada se primjenjuju standardne ugovorne klauzule, one imaju prednost pred oba dokumenta. 14.2 Izvršitelj obrade može ažurirati ovaj DPA kako bi odražavao promjene propisa, Usluge ili podizvršitelja obrade. Pritom slijedi pravila o obavještavanju iz Uvjeta (30 dana za bitne promjene) i iz odjeljka 6.2. Ažuriranje ne smanjuje zaštitu Osobnih podataka klijenata. 14.3 Na ovaj DPA primjenjuje se pravo Slovačke Republike. Nadležni su sudovi Slovačke Republike, kako je utvrđeno u Uvjetima.

Kategorije ispitanika, određene načinom na koji Voditelj obrade koristi Uslugu: • kupci i klijenti Voditelja obrade te potencijalni klijenti koji rezerviraju termin, registriraju se ili šalju upit; • osoblje i korisnici Voditelja obrade: zaposlenici, vanjski suradnici i pružatelji usluga prikazani na stranicama za rezervacije; • kontaktne osobe poslovnih klijenata i dobavljača Voditelja obrade, ako su pohranjene. Kategorije osobnih podataka: • identifikacijski i kontaktni podaci: ime, adresa e-pošte, broj telefona, poštanska adresa ili adresa za naplatu te porezni broj ako se izdaje račun; • podaci o terminima: rezervacije, usluge, vremena, lokacije, osoblje, bilješke, otkazivanja, upisi na listu čekanja, dolazak; • podaci o korisničkom računu klijenta: račun na portalu, postavke, jezik, tokeni uređaja za push obavijesti; • podaci o transakcijama: narudžbe, plaćanja i status plaćanja, pretplatne karte i prava, računi, odobrenja. Brojevima kartica upravlja pružatelj usluga plaćanja, a Usluga ih ne pohranjuje; • podaci o vjernosti i marketingu: bodovi, vaučeri, oznake privole; • recenzije i povratne informacije; • komunikacijski podaci: poruke e-pošte, SMS i chata poslane putem Usluge te status njihove isporuke; • tehnički podaci: IP adresa, informacije o uređaju i pregledniku, zapisnici. Posebne kategorije: Usluga nije namijenjena posebnim kategorijama osobnih podataka iz članka 9. GDPR-a. Voditelj obrade odgovoran je za to da takve podatke ne unosi. Ako je to zbog prirode njegova poslovanja neizbježno, primjerice kod termina povezanih sa zdravljem, Voditelj obrade odgovoran je za postojanje pravne osnove i odgovarajućih zaštitnih mjera. Učestalost: kontinuirano, tijekom razdoblja važenja Uvjeta.

1. Izolacija zakupaca. Podaci svake tvrtke ograničeni su njezinim identifikatorom tvrtke. Sloj pristupa podacima zahtijeva filtar tvrtke za svaki upit zakupca, a brisanje koristi isto ograničenje na tvrtku. 2. Enkripcija u prijenosu i u pohrani. Javne krajnje točke koriste HTTPS s TLS 1.2/1.3 i HSTS. Provjera TLS certifikata prema zadanim je postavkama uključena za odlazne veze. Podaci pohranjeni u bazi podataka i spremištu datoteka zaštićeni su enkripcijom u pohrani koju osigurava pružatelj infrastrukture. 3. Enkripcija tajni. Sljedeće se pohranjuje šifrirano algoritmom AES-256-GCM, uz ključeve koji se čuvaju izvan baze podataka: • OAuth tokeni povezanih pružatelja usluga izdavanja računa; • vjerodajnice za integracije s trećim stranama, s verzioniranim ključevima; • tajne za potpisivanje webhookova; • pohranjene vjerodajnice e-pošte. Tokeni se nikada ne zapisuju u zapisnike. 4. Autentifikacija. Lozinke se hashiraju algoritmom Argon2id. Dostupna je dvofaktorska autentifikacija. Interna administracijska ploča zahtijeva dvofaktorsku autentifikaciju i zaseban API ključ. 5. Kontrola pristupa. Voditelj obrade može vlastitim korisnicima dodijeliti pristup temeljen na ulogama i dopuštenjima. Svaki API zahtjev je autentificiran: JWT-om za korisnike, API ključevima za integracije i tokenima uređaja za mobilne aplikacije. 6. Zaštita od zlouporabe. • Ograničavanje broja zahtjeva radi po načelu fail-closed: zahtjevi se odbijaju ako spremište ograničenja nije dostupno. • Korisnički unos koji se koristi u uzorcima pretraživanja se escapira. • Odlazni URL-ovi provjeravaju se radi zaštite od krivotvorenja zahtjeva na strani poslužitelja (SSRF). 7. Smanjenje količine podataka i brisanje. Brisanje se provodi automatski nakon isteka razdoblja za izvoz nakon prestanka te na zahtjev nakon razdoblja za predomišljanje od 72 sata. Uklanja ili anonimizira sve podatke i datoteke vezane uz tvrtku, zadržava samo zapise koje zahtijeva zakon i ostavlja revizijski trag. Samostalni izvoz i brisanje dostupni su tvrtkama i krajnjim klijentima. 8. Dostupnost i otpornost. Nekoliko API čvorova radi iza uravnoteživača opterećenja s provjerom stanja, na upravljanoj usluzi baze podataka. Sigurnosne kopije slijede upravljanu rotaciju sigurnosnih kopija pružatelja baze podataka. Kopije izbrisanih podataka u sigurnosnim kopijama ne vraćaju se ni u koju svrhu i istječu s tom rotacijom. 9. Organizacijske mjere. • Pristup produkcijskom okruženju ograničen je na jednu osobu, direktora Izvršitelja obrade. • Implementacije se provode samo iz glavne grane pod kontrolom verzija. • Osoblje je obvezano na povjerljivost.

Izvršitelj obrade koristi sljedeće podizvršitelje obrade. Integracije koje Voditelj obrade sam odabire i povezuje nisu podizvršitelji obrade (odjeljak 6.4). To uključuje softver za izdavanje računa ili računovodstvo, vlastiti poslužitelj e-pošte Voditelja obrade, aplikaciju SMS Gateway na njegovu vlastitom uređaju i njegov vlastiti račun kod pružatelja usluga plaćanja.