Ugovor o obradi podataka

Ugovor o obradi podataka (DPA) u skladu sa člankom 28. GDPR-a

Datum: 20. mart 2026.

između

registriranim korisnikom Biscotti CMP – u daljem tekstu nazvanim "Upravitelj podataka" ili "Korisnik" –

i

Campcruisers GmbH Berliner Str. 21 B 14612 Falkensee Savezna Republika Njemačka

Sud za upis: Općinski sud u Potsdamu Registarski broj: HRB 40180 P PDV broj: DE368000447 Poreski broj: 29/249/36095 U ime društva zastupaju: Daniel Bosch (generalni direktor), Philipp André Marschall (ovlašteni potpisnik) E-pošta: [email protected] Telefon: +49 3322 50703301 Radno vrijeme: Pon–Pet, 09:00–17:00 – u daljem tekstu nazvan "Obraditelj podataka" ili "Pružatelj usluga" –

– Kontrolor podataka i Obraditelj podataka, koji se dalje zajednički nazivaju "Stranke" –

Uvod

Dobrodošli u Campcruisers GmbH! Sa zadovoljstvom Vas pozdravljamo kao našeg klijenta. Transparentnost, najviši sigurnosni standardi i partnerski pristup na ravnopravnoj osnovi naši su glavni prioriteti. Zaštita Vaših podataka i podataka posjetilaca Vaše web stranice nije za nas samo zakonska obaveza, već i centralna obaveza kvaliteta naše kompanije.

Kontrolor podataka koristi rješenje u oblaku Softver kao usluga (SaaS) "Biscotti CMP" (Platforma za upravljanje pristankom), koje je razvio, upravlja njime i distribuira obrađivač podataka. U kontekstu pružanja ovih SaaS usluga, koje su dostupne pod domenom biscotti-cmp.com i aplikacijom app.biscotti-cmp.com, obrađivač obrađuje lične podatke u ime i u skladu s uputama kontrolora. Ovim sporazumom utvrđuju se obaveze stranaka u pogledu zaštite podataka koje proizlaze iz korištenja Biscotti CMP-a. Primjenjuje se na sve aktivnosti povezane s glavnim ugovorom (korisničkim ugovorom za SaaS usluge) u kojima zaposlenici obrađivača ili treće strane angažirane od strane obrađivača mogu doći u kontakt s ličnim podacima kontrolora.

Ovaj sporazum je neophodan za ispunjavanje zahtjeva Uredbe (EU) 2016/679 (Opća uredba o zaštiti podataka – GDPR), a posebno članak 28. GDPR-a, kao i dopunske odredbe Saveznog zakona o zaštiti podataka (BDSG) i Zakona o zaštiti podataka u telekomunikacijama i digitalnim uslugama (TDDDG).

[!NAPOMENA] Zaključivanje ugovora u elektronskoj trgovini Ovaj ugovor se sklapa u elektronskom formatu u skladu sa članom 28. stav 9. GDPR-a. Prilikom registracije kontrolora podataka, on čini sastavni dio Općih uslova (GTC) kompanije Biscotti CMP. Ugovor se sklapa putem izričite elektronske saglasnosti tokom registracije (npr. klikom na dugme za potvrdu) i ne zahtijeva zaseban, rukom napisan potpis da bi bio važeći i pravno obavezujući.

§ 1 Predmet i trajanje obrade

1.1 Predmet obrade. Obrađivač pruža usluge kontroloru u oblasti upravljanja pristankom i automatizacije usklađenosti sa zaštitom podataka. Predmet obrade ličnih podataka utvrđen je u glavnom ugovoru zaključenom između strana u vezi s korištenjem Biscotti CMP-a. Obrada obuhvata sve operacije s podacima neophodne za pružanje ugovorno dogovorenih softverskih funkcionalnosti. To uključuje, naročito, ali ne isključivo:

• Pružanje i prikazivanje banera za saglasnost (banera kolačića) na web stranicama Kontrolora.
• Prikupljanje, pohrana, upravljanje i dokumentiranje odluka o pristanku (prihvatanje/odbijanje) krajnjih korisnika kontrolora podataka (posjetitelja web stranice) u skladu s člankom 7. stavkom 1. GDPR-a i odjeljkom 25. stavkom 1. TDDDG-a.
• Izvođenje AI podržanih skeniranja kolačića na web stranicama kontrolora radi identifikacije i kategorizacije tehnologija za praćenje i njihove usporedbe s bazom podataka pružatelja usluga IAB.
• Obrada signala u okviru Google Consent Mode v2, IAB Transparency & Consent Framework (TCF 2.4) i Global Privacy Control (GPC).
• Određivanje nadležnosti posjetitelja web stranice na osnovu IP adrese radi dinamičkog prikaza varijanti bannera u skladu sa zakonom (npr. GDPR, CCPA/CPRA).
• Generisanje pravnih tekstova pomoću umjetne inteligencije (obavijest o pravima, politika privatnosti, politika kolačića) putem integrisanog Legal Suite Assistant-a koristeći Alibaba Cloud Qwen.
• Obezbjeđivanje evidencije revizije, webhookova za obavještenja u stvarnom vremenu, funkcionalnosti A/B testiranja i funkcija izvoza podataka za ispunjavanje prava ispitanika iz članka 15. GDPR-a.
• Upravljanje podračunima agencija u okviru tarife "Agencija", uključujući upravljanje klijentima i white-label brendiranje.

1.2 Trajanje obrade Rok ovog Ugovora o obradi podataka zasniva se na roku osnovnog glavnog ugovora za korištenje Biscotti CMP-a. Ugovor stupa na snagu registracijom kontrolora podataka i aktivacijom računa (za besplatne planove) ili potvrdom uplate (za plaćene planove kao što su Starter, Growth, Business, Agency). Automatski prestaje na snazi po prestanku glavnog ugovora, bez obzira na pravni osnov (npr. redovnim raskidom, izvanrednim raskidom ili brisanjem računa). Obavještajni rok za glavni ugovor je 1 dan prije kraja relevantnog obračunskog perioda. Odredbe ovog ugovora koje, po svojoj prirodi, trebaju ostati na snazi i nakon prestanka važenja (posebno odredbe koje se odnose na brisanje i povrat podataka, kao i na pitanja odgovornosti) ostaju nepromijenjene uslijed prestanka važenja.

§ 2 Priroda i svrha obrade

2.1 Priroda obrade Priroda obrade obuhvata prikupljanje, evidentiranje, organizaciju, strukturiranje, pohranu, prilagođavanje ili izmjenu, pretraživanje, uvid, korištenje, otkrivanje prenosom, širenje ili drugo dostavljanje, usklađivanje ili kombinovanje, ograničavanje, brisanje ili uništavanje podataka. Obrada se prvenstveno vrši automatski unutar cloud infrastrukture procesora podataka (npr. hostirano na Hetzner Online GmbHi, sa serverima koji se obično nalaze u Evropskoj uniji).

2.2 Svrha obrade Svrha obrade leži isključivo u ispunjavanju ugovornih obaveza koje proizlaze iz glavnog ugovora. To uključuje:

• Dokaz o privoli: Pohrana podataka o privoli radi ispunjavanja obaveza voditelja obrade u pogledu odgovornosti u skladu s člankom 5. stavkom 2. u vezi s člankom 7. stavkom 1. GDPR-a.
• Tehničko pružanje: Prikaz banera za saglasnost i osiguravanje funkcionalnosti web stranice kontrolora, uzimajući u obzir preferencije korisnika.
• Analiza usklađenosti: Automatska provjera web stranica kontrolora na rizike po zaštitu podataka (skener kolačića).
• Izrada pravnih tekstova: Obrada podataka o kompaniji i kontakt informacija kontrolora za kreiranje prilagođenih pravnih tekstova uz pomoć umjetne inteligencije.
• Naplata i upravljanje računima: Upravljanje korisničkim računima, dodjela ograničenja sesija (npr. 5.000 sesija na besplatnom planu, 500.000 na poslovnom planu) i obrada prijenosa sesija.
• Upravljanje agencijom: Omogućavanje upravljanja do 25 podračuna na planu za agencije, uključujući pružanje stranica za preprodavače i funkcija slanja e-pošte.

Obrada podataka za vlastite potrebe obrađivača podataka, posebno za vlastite reklamne svrhe ili za izradu korisničkih profila, što prelazi ugovornu pružanje usluga, strogo je zabranjeno, osim ako ne postoji izričita zakonska ovlast ili zaseban pristanak.

§ 3 Vrsta ličnih podataka

U okviru obrade podataka obrađuju se sljedeće kategorije ličnih podataka. Kontrolor određuje tačan obim podataka korištenjem Biscotti CMP-a i konfiguracijom samog softvera:

• Podaci o saglasnosti: Odluke (saglasnost/odbijanje za različite kategorije kao što su Osnovne, Funkcionalne, Analitika, Marketing, Usluge VAI), vremenski pečati (datum i tačno vrijeme saglasnosti), jedinstveni identifikacijski broj (za pseudonimnu dodjelu odluke odgovarajućem uređaju/pregledniku).
• Tehnički podaci: IP adrese (obrađuju se prvenstveno za identifikaciju nadležnosti na osnovu lokacije i, kao pravilo, odmah anonimiziraju se/skraćuju, osim ako kontrolor ne konfiguriše drugačije), informacije o pregledniku, informacije o uređaju, nizovi korisničkog agenta, podaci o sesiji.
• Podaci o kolačićima i praćenju: rezultati skeniranja web stranica kontrolora, uključujući pronađene kolačiće, sadržaj lokalnog skladišta, praćenike trećih strana i njihovu klasifikaciju.
• Sadržaj generiran umjetnom inteligencijom: Podaci koje kontrolor unosi u Legal Suite Assistant radi generiranja pravnih tekstova (politika privatnosti, pravna napomena, uvjeti i odredbe). To može uključivati podatke o kompaniji, imena ovlaštenih predstavnika, adrese i specifične aktivnosti obrade, koji se obrađuju putem Alibaba Cloud Model Studio (Qwen) API-ja.
• Kontakt podaci (vlasnici računa): ime i prezime, adresa e-pošte, naziv kompanije, poštanska adresa, broj telefona, broj poreznog registra (PDV) kupaca ili vlasnika računa.
• Podaci o korištenju: aktivnosti na kontrolnoj tabli, statistika banera (pregledi, interakcije, stope prihvatanja), izvještaji o usklađenosti, dnevnici revizije promjena na računu.
• Podaci o plaćanju: Informacije o naplati obrađene putem pružatelja usluga plaćanja Stripe (pri čemu Stripe izravno tokenizira podatke o kreditnim karticama i procesor ih ne pohranjuje u običnom tekstu).

§ 4 Kategorije subjekata podataka

Obrada se odnosi na sljedeće kategorije ispitanika:

• Posjetioci web stranice (krajnji korisnici): Fizička lica koja posjećuju web stranice kontrolora i za koje se odluke o davanju saglasnosti traže, obrađuju i pohranjuju putem Biscotti CMP banera.
• Kupci (vlasnici računa): Fizička lica, samostalni preduzetnici ili predstavnici pravnih lica koji su, kao ugovorni partneri obrađivača podataka, registrovali račun kod Biscotti CMP.
• Članovi tima i zaposlenici: Osobe koje je vlasnik računa (kontrolor) pozvao kao dodatne korisnike na kontrolnu tablu Biscotti CMP radi upravljanja sistemom.
• Klijenti agencija (korisnici podračuna): Krajnji korisnici agencija koji koriste tarifu "Agencija" i za koje su kreirani podračuni.

§ 5 Obaveze i prava kontrolora

5.1 Zakonitost obrade Kontrolor je isključivo odgovoran za procjenu zakonitosti povjerene obrade i za zaštitu prava ispitanika (članak 4. stavak 7. GDPR-a). Kontrolor će osigurati da postoji valjana pravna osnova (npr. privola u skladu s člankom 6. stavkom 1. točkom (a) GDPR-a ili legitimni interes u skladu s člankom 6. stavkom 1. točkom (f) GDPR-a) za obradu ličnih podataka od strane obrađivača. Ovo se posebno odnosi na upotrebu Biscotti CMP-a za dobivanje pristanka u skladu sa članom 25. stavkom 1. TDDDG-a.

5.2 Obaveze informisanja Kontrolor je u potpunosti odgovoran za informisanje subjekata podataka (posebno posjetilaca web stranice) o obradi podataka na transparentan, precizan i pravovremen način u skladu sa člancima 13. i 14. GDPR-a. U tu svrhu, obrađivač će kontroloru dostaviti potrebne tehničke informacije o funkcionalnosti Biscotti CMP-a, kao i primjere tekstova putem Legal Suite Assistanta. Pravna provjera i integracija politike privatnosti je odgovornost kontrolora.

5.3 Korištenje od strane agencija i preprodavača Ako Kontrolor koristi tarifu "Agencija" i kreira podračune za svoje klijente, Kontrolor ostaje jedini ugovorni partner i kontrolor podataka u odnosu na Procesora. Kontrolor garantuje da ima potrebne ugovorne sporazume (uključujući i vlastite ugovore o obradi podataka) sa svojim krajnjim korisnicima. Ako kontrolor postavi stranicu preprodavača ili koristi vlastite e-mail servere pod svojom domenom, on snosi isključivu odgovornost u skladu sa zakonom o zaštiti podataka i zakonima o konkurenciji za tu infrastrukturu. Izvršitelj ne prihvata nikakvu odgovornost u tom pogledu.

5.4 Prijavljivanje grešaka Kontrolor podataka mora odmah i u potpunosti obavijestiti obrađivača podataka ako pri pregledu rezultata obrade otkrije greške ili nepravilnosti koje se odnose na propise o zaštiti podataka.

§ 6 Pravo kontrolora da izdaje upute

6.1 Priroda i obim uputa Prerađivač će obrađivati lične podatke isključivo na osnovu dokumentovanih uputa kontrolora, osim ako to ne zahtijeva pravo Unije ili pravo države članice na koje se on obavezuje (članak 28. stav 3. tačka (a) GDPR-a). U takvom slučaju, obrađivač će obavijestiti voditelja obrade o ovom zakonskom zahtjevu prije obrade, osim ako relevantni zakon ne zabranjuje takvo obavještavanje iz razloga važnog javnog interesa.

Glavni ugovor i ovi OUP čine početne dokumentovane upute. Korištenje funkcija Biscotti CMP-a (npr. konfiguracija banera, pokretanje skeniranja, generisanje tekstova) od strane kontrolora na kontrolnoj tabli smatrat će se dokumentovanim pojedinačnim uputama.

6.2 Oblik uputa Uputstva se općenito mogu izdati putem korisničkog interfejsa softvera (aplikacije). Sva daljnja uputstva moraju biti dostavljena u pisanom obliku (npr. putem e-pošte na [email protected]). Usmena uputstva mora kontrolor bez odlaganja potvrditi u pisanom obliku.

6.3 Prigovori na upute Procesor je dužan odmah obavijestiti kontrolora ako smatra da uputa krši GDPR, BDSG ili druge odredbe o zaštiti podataka Unije ili država članica. Procesor ima pravo obustaviti provedbu relevantne upute dok je kontrolor ne potvrdi ili izmijeni. Obrađivač može odbiti upute koje su očito nezakonite.

§ 7 Obaveza povjerljivosti

7.1 Obaveza zaposlenika Obrađivač potvrđuje da je sve osobe ovlaštene za obradu ličnih podataka kontrolora (zaposlenike, freelancere, tijela) obavezao na povjerljivost prije početka njihovih aktivnosti (članak 28. stavak 3. tačka (b) GDPR-a) ili da su podložni odgovarajućoj zakonskoj obavezi povjerljivosti. Ova obaveza također obuhvata tajnost podataka i ostaje na snazi čak i nakon prestanka djelatnosti ili radnog odnosa.

7.2 Obuka i podizanje svijesti Obrađivač će osigurati da su osobe ovlaštene za obradu podataka redovno upućivane i upoznate sa odredbama o zaštiti podataka (GDPR, BDSG) i sigurnosti podataka. Obrađivač, kojeg zastupa uprava (Daniel Bosch, Philipp André Marschall), osigurat će korporativnu kulturu koja je u skladu sa propisima o zaštiti podataka.

7.3 Službenik za zaštitu podataka Gdje je to propisano zakonom u skladu sa članom 38. stav 1. BDSG-a ili članom 37. GDPR-a (npr. kada je općenito angažirano najmanje 20 osoba u trajnoj automatiziranoj obradi), obrađivač podataka je imenovao kompetentnog i pouzdanog službenika za zaštitu podataka.

Ukoliko ne postoji zakonska obaveza imenovanja službenika za zaštitu podataka, obrađivač podataka će ipak osigurati da rukovodstvo u potpunosti nadzire i poštuje obaveze zaštite podataka.

§ 8 Tehničke i organizacione mjere (TOM-ovi) u skladu sa člankom 32. GDPR-a

8.1 Načelo sigurnosti obrade Ovim putem obrađivač podataka izjavljuje da je, uzimajući u obzir stanje tehnike, troškove implementacije i prirodu, opseg, okolnosti i svrhe obrade, kao i različitu vjerovatnoću i ozbiljnosti rizika po prava i slobode fizičkih lica, obrađivač podataka je proveo odgovarajuće tehničke i organizacione mjere (TOMs) kako bi osigurao nivo sigurnosti primjeren riziku (član 32. GDPR-a). Ove mjere se zasnivaju na priznatim standardima IT sigurnosti (kao što su ISO 27001 i SOC 2).

8.2 Specifične mjere Prerađivač će, naročito, provesti sljedeće mjere i održavati ih tokom cijelog trajanja ugovora:

a) Pseudonimizacija i šifriranje (članak 32. stavak 1. tačka (a) GDPR-a)

• Šifriranje tokom prijenosa: Svi prijenosi podataka između krajnjeg korisnika, kontrolora i Biscotti CMP infrastrukture moraju se odvijati koristeći najsavremenije protokole šifriranja (TLS 1.2 ili TLS 1.3).
• Šifriranje podataka u mirovanju: Sve baze podataka i mediji za pohranu na Hetzner Online GmbHi (lokacija servera: NL) šifrirane su na nivou tvrdog diska (AES-256).
• Pseudonimizacija: Odluke o privoli nisu povezane s pravim imenima, već s nasumično generiranim kriptografskim identifikacijskim brojem. IP adrese se prema zadanim postavkama skraćuju/anonimiziraju čim je mapiranje zasnovano na lokaciji dovršeno.

b) Povjerljivost (kontrola pristupa)

• Kontrola pristupa: Fizičku sigurnost korištenih servera osigurava vanjski pružatelj usluga infrastrukture (npr. Google Cloud). Centri za podatke podliježu strogim kontrolama pristupa i sigurnosti u skladu sa standardima industrije. Vlastiti poslovni prostori kompanije Campcruisers GmbH osigurani su odgovarajućim fizičkim ograničenjima pristupa (npr. sigurnosnim bravama).
• Kontrola pristupa: Pristup IT sistemima obrađivača podataka osiguran je restriktivnim politikama lozinki, višefaktorskom autentifikacijom (MFA) za relevantan administrativni pristup i vremenskim ograničenjima sesije. Sistemi kao što je Cloudflare Turnstile koriste se za zaštitu pokušaja prijave od napada botova.
• Kontrola pristupa: Primjenjuje se princip najmanjih privilegija (kontrola pristupa zasnovana na ulogama – RBAC). Zaposlenici obrađivača podataka imaju pristup samo onim podacima koji su strogo neophodni za njihove zadatke. Podaci korisnika za različite tarife logički su odvojeni jedni od drugih (multitenancy).

c) Integritet (kontrole otkrivanja, unosa i segregacije)

• Kontrola otkrivanja: Podaci se ne prenose na fizičkim medijima za pohranu podataka. Prijenos se odvija isključivo putem sigurnih mreža.
• Kontrola unosa: Biscotti CMP ima sveobuhvatan dnevnik revizije. U bilo kojem trenutku je moguće pratiti koji je korisnik (kupac, član tima, agencija) napravio koje promjene na kontrolnoj ploči i u koje vrijeme (npr. promjene tekstova banera, prilagođavanja kategorija kolačića).
• Kontrola segregacije: Podaci prikupljeni za različite svrhe obrađuju se odvojeno. Produkcijsko, testno i razvojno okruženje strogo su izolirana jedni od drugih.

d) Dostupnost i otpornost (članak 32. stavak 1. tačka (b) i (c) GDPR-a)

• Dostupnost: Obrađivač poduzima odgovarajuće mjere u skladu sa standardima industrije kako bi osigurao dostupnost sistema (hosting na Hetzner Online GmbHi). Međutim, ne garantuju se eksplicitni nivoi dostupnosti SLA-a i ne postoji potpuna redundantnost infrastrukture.
• Otpornost: Arhitektura sistema je dizajnirana na takav način da se očekivani obim sesija općenito pouzdano obrađuje. Međutim, ne koriste se namjenski mehanizmi za balansiranje opterećenja ili automatsko skaliranje.
• Obnova podataka: Prerađivač poduzima odgovarajuće mjere (npr. redovno pravljenje sigurnosnih kopija baza podataka) kako bi omogućio obnovu podataka u slučaju tehničkog incidenta. Međutim, ne postoji garancija obnove bez gubitka, zbog čega je kontrolor obavezan koristiti funkcije izvoza koje su mu dostupne na vlastitu odgovornost.

e) Procedure za redovnu provjeru (članak 32. stavak 1. tačka (d) GDPR-a)

• Obrađivač redovno provjerava efikasnost tehničkih i organizacijskih mjera poduzetih interno.
• Uspostavljeni su interni procesi za odgovor na incidente radi rješavanja potencijalnih incidenata unutar pravnog okvira.
• TOM-ovi su predmet procesa kontinuiranog poboljšanja.

8.3 Prilagođavanje tehničkih i organizacijskih mjera Tehničke i organizacijske mjere podliježu tehničkom napretku i daljem razvoju. Prerađivač ima pravo provesti alternativne odgovarajuće mjere, pod uslovom da nivo sigurnosti nije niži od nivoa navedenih mjera. O bitnim promjenama mora se pisanim putem obavijestiti kontrolor.

§ 9 Podizvođači

9.1 Angažovanje podizvođača Kontrolor ovim daje obrađivaču opću pisanu ovlast (članak 28. stavak 2. GDPR-a) da angažuje druge obrađivače (podizvođače). Obrađivač podataka će osigurati da pažljivo bira podizvođače i da ih ugovorno obavezuje na iste obaveze zaštite podataka kao što su one navedene u ovom Ugovoru (član 28. stavak 4. GDPR-a).

9.2 Trenutno ovlašteni podizvođači U trenutku sklapanja ovog ugovora, sljedeći podizvođači su angažirani u pružanju Biscotti CMP usluga i smatraju se ovlaštenima od strane voditelja obrade. Obrađivač je osigurao da, u slučaju američkih pružatelja usluga, odgovarajuća podružnica u EU djeluje kao ugovorni partner kako bi se održao nivo zaštite podataka u EU:

9.3 Prijenos u treće zemlje U slučaju da obradu provode podizvođači izvan Evropske unije (EU) ili Evropskog ekonomskog prostora (EEA) (npr. u slučaju ponovnog slanja), obrađivač će osigurati da su ispunjeni posebni uslovi članova 44. i sl. GDPR-a. To se općenito postiže sklapanjem važećih standardnih ugovornih odredbi (SCCs) Evropske komisije u kombinaciji s procjenom utjecaja prijenosa i provedbom dodatnih tehničkih mjera (npr. enkripcija).

9.4 Promjena ili angažman novih podizvođača Obraditelj će obavijestiti kontrolora o svakoj namjeravanoj promjeni u vezi s angažmanom ili zamjenom podizvođača. Obavijest se dostavlja u pisanom obliku (npr. e-poštom na adresu pohranjenu na računu) najmanje 30 dana prije planirane promjene. Kontrolor može uložiti prigovor na promjenu iz opravdanih razloga koji se odnose na zakon o zaštiti podataka u roku od 14 dana od prijema obavještenja. Ako se ne uloži prigovor, promjena se smatra odobrenom. U slučaju opravdanog prigovora koji obrađivač ne može riješiti preduzimanjem razumnih mjera, kontrolor ima pravo raskinuti glavni ugovor vanredno, sa učinkom od dana kada promjena stupi na snagu.

§ 10 Pomoć pri ostvarivanju prava ispitanika

10.1 Obaveza pružanja podrške Obrađivač će, gdje je to moguće, pružiti podršku kontroloru odgovarajućim tehničkim i organizacijskim mjerama u ispunjavanju obaveze kontrolora da odgovori na zahtjeve za ostvarivanje prava ispitanika navedenih u Poglavlju III GDPR-a (članci 15. do 22. GDPR-a) (članak 28. stavak 3. točka e) GDPR-a).

10.2 Tehnička implementacija u Biscotti CMP Biscotti CMP ima za cilj pružiti tehničku podršku kontroloru u ispunjavanju njegovih obaveza:

• Pravo na pristup (članak 15. GDPR) i pravo na prenosivost podataka (članak 20. GDPR): Softver nudi opcije izvoza podataka (npr. kao CSV), ili se od podrške mogu zatražiti izvozi određenih ID-ova pristanka na način usklađen s propisima o zaštiti podataka.
• Pravo na povlačenje pristanka (članak 7. stavak 3. GDPR-a): Biscotti CMP banner za pristanak krajnjim korisnicima nudi mogućnost pregleda njihovih postavki i povlačenja pristanka u bilo kojem trenutku.
• Pravo na brisanje (članak 17. GDPR): Podatke koje je prikupio kontrolor može izbrisati pomoću funkcija dostupnih na kontrolnoj ploči ili, na zahtjev koji se može provjeriti, može se dogovoriti njihovo brisanje kontaktiranjem podrške.

10.3 Prosljeđivanje zahtjeva Ako subjekt podataka ostvari svoja prava direktno prema procesoru, procesor neće samostalno odgovoriti na zahtjev, već će odmah uputiti subjekt podataka na kontrolora, pod uslovom da se subjekt podataka može identifikovati kao pripadnik kontrolora na osnovu dostupnih podataka. Procesor će proslijediti zahtjev kontroloru bez odlaganja.

§ 11 Podrška pri procjeni utjecaja na zaštitu podataka (DPIA) i obaveze izvještavanja

11.1 Procjena utjecaja obrade na zaštitu podataka (članak 35. GDPR) Obraditelj će pomagati kontroloru, uzimajući u obzir prirodu obrade i informacije koje su mu dostupne, u provođenju procjene utjecaja na zaštitu podataka (DPIA) u skladu s člankom 35. GDPR-a, kao i u svakoj potrebnoj prethodnoj konsultaciji s nadležnim tijelom za nadzor (članak 36. GDPR-a).

11.2 Obavještenje o povredi ličnih podataka Obrađivač je obavezan pismeno obavijestiti kontrolora o svakoj povredi ličnih podataka (povredi podataka) koja utječe na podatke obrađene u ime kontrolora bez odlaganja, a u svakom slučaju u roku od 48 sati od saznanja za istu.

§ 12 Brisanje i vraćanje podataka

12.1 Brisanje po prestanku ugovora Po završetku pružanja usluga obrade (prestanak glavnog ugovora), obrađivač je obavezan, prema odluci kontrolora, ili izbrisati ili vratiti sve lične podatke, pod uslovom da ne postoji obaveza prema pravu Unije ili pravu država članica (npr. obaveze čuvanja poslovnih knjiga i evidencije prema njemačkom Trgovačkom zakoniku (HGB) i njemačkom Poreskom zakoniku (AO)) da se čuvaju lični podaci.

12.2 Standardni proces kompanije Biscotti CMP Osim ako kontrolor podataka ne izda drugačije upute, primjenjuje se sljedeći standardni proces: Kontrolor podataka ima mogućnost da nezavisno napravi sigurnosnu kopiju svojih podataka prije isteka ugovora koristeći funkciju izvoza (CSV). Kada raskid stupi na snagu i istekne obračunski period, račun kontrolora podataka bit će deaktiviran. Lični podaci pohranjeni na računu zadržavaju se u prijelaznom periodu od 30 dana (rok čuvanja) kako bi se omogućilo vraćanje u slučaju slučajnog povrata na niži paket. Po isteku ovih 30 dana, podaci se nepovratno i u skladu s propisima o zaštiti podataka brišu iz produkcijskih sistema.

12.3 Potvrda o brisanju Na izričit zahtjev kontrolora, obrađivač će pisanim putem potvrditi kontroloru da su podaci izbrisani u skladu s propisima o zaštiti podataka.

§ 13 Prava na inspekciju i reviziju

13.1 Pravo na reviziju Prerađivač će kontroloru dostaviti sve potrebne informacije kako bi se dokazala usklađenost sa obavezama navedenim u članu 28. GDPR-a i u ovom ugovoru. Omogućit će i sarađivati u revizijama – uključujući inspekcije – koje provodi kontrolor ili revizor imenovan od strane kontrolora, koji je obavezan na tajnost.

13.2 Provođenje revizija Kako se ne bi ugrozila sigurnost podatkovnih centara i povjerljivost podataka drugih klijenata (segregacija klijenata), strane se slažu na sljedeći postupak za revizije:

• Kontrolor podataka će prvenstveno ostvarivati svoje pravo inspekcije traženjem i ocjenjivanjem relevantnih certifikata (npr. ISO 27001) ili putem detaljnih upitnika o IT sigurnosti.
• Ukoliko se pokaže da ove informacije nisu dovoljne, Kontrolor podataka ima pravo provesti inspekciju na licu mjesta u poslovnim prostorijama kompanije Campcruisers GmbH (Berliner Str. 21 B, 14612 Falkensee).
• Inspekcije na licu mjesta moraju biti najavljene s razumnim rokom obavijesti (obično najmanje 14 dana).

§ 14 Odgovornost i naknada

14.1 Eksterna odgovornost (prema subjektima podataka) Kontrolor i obrađivač odgovorni su subjektu podataka za naknadu štete u skladu sa člankom 82. GDPR-a. Obrađivač je odgovoran za štetu koja proizlazi iz obrade samo ako nije ispunio svoje obaveze iz GDPR-a ili je postupio suprotno zakonitim uputama kontrolora.

14.2 Unutrašnji odnos (između strana) U svom unutrašnjem odnosu, strane su oslobođene odgovornosti ako jedna strana dokaže da ni na koji način nije odgovorna za okolnost koja je uzrokovala štetu.

14.3 Ograničenje odgovornosti iz glavnog ugovora Pored toga, primjenjuju se odredbe o odgovornosti iz glavnog ugovora (Općih uslova). Odgovornost za laku nepažnju je isključena, osim ako se ne radi o kršenju suštinskih ugovornih obaveza (kardinalnih obaveza). U tom slučaju, odgovornost je ograničena na predvidivu štetu tipičnu za ugovor.

§ 15 Završne odredbe

15.1 Pisani oblik i izmjene Izmjene i dopune ovog ugovora moraju biti u pisanom obliku (npr. putem e-pošte). Prerađivač podataka zadržava pravo da izmijeni ovaj ugovor kako bi ga prilagodio promjenama u pravnoj situaciji ili tehničkom razvoju. Kontrolor podataka će biti obaviješten o svim izmjenama putem e-pošte.

15.2 Redoslijed prednosti Ukoliko pojedinačne odredbe ovog Ugovora o obradi podataka budu u suprotnosti s odredbama glavnog ugovora (Općih uslova poslovanja), odredbe ovog Ugovora o obradi podataka imat će prednost u pogledu zaštite podataka i sigurnosti podataka.

15.3 Klauzula o odvojivosti Ukoliko bilo koja pojedinačna odredba ovog sporazuma bude ili postane nevažeća ili neprovediva, to neće utjecati na valjanost preostalih odredbi. Strane se obavezuju da zamijene nevažeću ili neprovedivu odredbu valjanom i provedivom odredbom.

15.4 Primjenjivo pravo i nadležnost Ovaj Ugovor se isključivo uređuje zakonima Savezne Republike Njemačke, s isključenjem Konvencije UN-a o ugovorima o međunarodnoj prodaji robe. Isključivo nadležno sudište za sve sporove koji proizlaze iz ovog Ugovora ili su s njim povezani bit će, u mjeri u kojoj je to zakonom dopušteno, sjedište Obrađivača podataka (Falkensee). Jezik Ugovora je njemački.