Ugovor o obradi podataka

Ugovor o obradi podataka (DPA) u skladu s člankom 28. GDPR-a

Datum: 20. ožujka 2026.

Između

registriranim korisnikom Biscotti CMP – u daljnjem tekstu nazvanim "Upravitelj podataka" ili "Korisnik" –

i

Campcruisers GmbH Berliner Str. 21 B 14612 Falkensee Savezna Republika Njemačka

Sudski registar: Općinski sud u Potsdamu Registarski broj: HRB 40180 P PDV broj: DE368000447 Porezni broj: 29/249/36095 Upravitelji: Daniel Bosch (izvršni direktor), Philipp André Marschall (ovlašteni potpisnik) E-pošta: [email protected] Telefon: +49 3322 50703301 Radno vrijeme: Pon–Pet, 09:00–17:00 – u daljnjem tekstu nazvan "Obraditelj podataka" ili "Pružatelj usluga" –

– Voditelj obrade i Izvršitelj obrade, koji se u nastavku zajednički nazivaju "Stranke" –

Uvod

Dobrodošli u Campcruisers GmbH! Zadovoljstvo nam je što vas možemo pozdraviti kao našeg klijenta. Transparentnost, najviši sigurnosni standardi i partnerski pristup na ravnopravnoj osnovi naši su glavni prioriteti. Zaštita vaših podataka i podataka posjetitelja vaše web-stranice nije za nas samo zakonska obveza, već i središnja kvalitetsna obveza naše tvrtke.

Kontrolor podataka koristi rješenje u oblaku Softver kao usluga (SaaS) "Biscotti CMP" (Consent Management Platform), koje je razvio, upravlja njime i distribuira Obraditelj podataka. U kontekstu pružanja ovih SaaS usluga, koje su dostupne pod domenom biscotti-cmp.com i aplikacijom app.biscotti-cmp.com, obrađivač obrađuje osobne podatke u ime i u skladu s uputama kontrolora. Ovim se sporazumom utvrđuju obveze stranaka u pogledu zaštite podataka koje proizlaze iz korištenja rješenja Biscotti CMP. Primjenjuje se na sve aktivnosti povezane s glavnim ugovorom (ugovorom o korištenju SaaS usluga) u kojima zaposlenici obrađivača ili treće strane koje je obrađivač angažirao mogu doći u dodir s osobnim podacima voditelja obrade.

Ovaj sporazum je neophodan za ispunjavanje zahtjeva Uredbe (EU) 2016/679 (Opća uredba o zaštiti podataka – GDPR), osobito članak 28. GDPR-a, kao i dopunske odredbe Saveznog zakona o zaštiti podataka (BDSG) i Zakona o zaštiti podataka u telekomunikacijama i digitalnim uslugama (TDDDG).

[!NAPOMENA] Zaključivanje ugovora u elektroničkoj trgovini Ovaj se ugovor sklapa u elektroničkom formatu u skladu s člankom 28. stavkom 9. Uredbe GDPR. Nakon registracije kontrolora podataka, on čini sastavni dio Općih uvjeta poslovanja (GTC) tvrtke Biscotti CMP. Ugovor se sklapa putem izričite elektroničke suglasnosti tijekom registracije (npr. klikom na gumb za potvrdu) i ne zahtijeva zaseban, rukom napisan potpis da bi bio valjan i pravno učinkovit.

Članak 1. Predmet i trajanje obrade

1.1 Predmet obrade . Obrađivač pruža usluge voditelju obrade u području upravljanja privolama i automatizacije usklađenosti s propisima o zaštiti podataka. Predmet obrade osobnih podataka utvrđen je u glavnom ugovoru sklopljenom između stranaka u vezi s korištenjem Biscotti CMP-a. Obrada obuhvaća sve operacije vezane uz podatke potrebne za pružanje ugovorno dogovorenih funkcionalnosti softvera. To uključuje, osobito, ali ne isključivo:

• Pružanje i prikazivanje banera za privolu (banera kolačića) na web-stranicama Kontrolora.
• Prikupljanje, pohrana, upravljanje i dokumentiranje odluka o privolama (prihvaćanje/odbijanje) krajnjih korisnika kontrolora (posjetitelja web-stranice) u skladu s člankom 7. stavkom 1. GDPR-a i odjeljkom 25. stavkom 1. TDDDG-a.
• Provedba skeniranja kolačića podržanog umjetnom inteligencijom na web-stranicama kontrolora radi identifikacije i kategorizacije tehnologija za praćenje te njihove usporedbe s bazom podataka pružatelja usluga IAB-a.
• Obrada signala u okviru Google Consent Mode v2, IAB Transparency & Consent Framework (TCF 2.4) i Global Privacy Control (GPC).
• Određivanje nadležnosti posjetitelja web-stranice na temelju IP adrese radi dinamičkog prikaza varijanti bannera u skladu sa zakonom (npr. GDPR, CCPA/CPRA).
• Generiranje pravnih tekstova uz pomoć umjetne inteligencije (obavijest o pravnim uvjetima, pravila o privatnosti, pravila o kolačićima) putem integriranog Legal Suite Assistanta koji koristi Alibaba Cloud Qwen.
• Osiguravanje evidencija revizije, webhookova za obavijesti u stvarnom vremenu, funkcionalnosti A/B testiranja i funkcija izvoza podataka radi ispunjavanja prava ispitanika prema članku 15. GDPR-a.
• Upravljanje podračunima agencija u okviru tarife "Agency", uključujući upravljanje klijentima i white-label brendiranje.

1.2 Trajanje obrade Rok ovog Ugovora o obradi podataka temelji se na trajanju temeljnog ugovora za korištenje Biscotti CMP-a. Ugovor stupa na snagu registracijom voditelja obrade i aktivacijom računa (za besplatne planove) ili potvrdom uplate (za plaćene planove kao što su Starter, Growth, Business, Agency). Automatski prestaje važiti prestankom glavnog ugovora, bez obzira na pravni osnov (npr. redovnim raskidom, izvanrednim raskidom ili brisanjem računa). Obavijest o raskidu glavnog ugovora podnosi se 1 dan prije kraja relevantnog obračunskog razdoblja. Odredbe ovog ugovora koje su, po svojoj prirodi, namijenjene ostati na snazi i nakon raskida (posebno odredbe o brisanju i povratu podataka, kao i pitanja odgovornosti) ostaju nepromijenjene raskidom.

Članak 2. Priroda i svrha obrade

2.1 Priroda obrade Priroda obrade obuhvaća prikupljanje, bilježenje, organizaciju, strukturiranje, pohranu, prilagodbu ili promjenu, pretraživanje, uvid, korištenje, otkrivanje prijenosom, širenje ili drugo dostavljanje, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje podataka. Obrada se prvenstveno provodi automatski unutar cloud infrastrukture obrađivača podataka (npr. hostirana na Hetzner Online GmbHi, s poslužiteljima koji se obično nalaze u Europskoj uniji).

2.2 Svrha obrade Svrha obrade leži isključivo u ispunjavanju ugovornih obveza koje proizlaze iz glavnog ugovora. To uključuje:

• Dokaz o privoli: Pohrana podataka o privoli radi ispunjavanja obveza voditelja obrade o odgovornosti sukladno članku 5. stavku 2. u vezi s člankom 7. stavkom 1. GDPR-a.
• Tehnička dostupnost: Prikaz bannera za privolu i osiguravanje funkcionalnosti web-stranice voditelja obrade, uzimajući u obzir korisničke preferencije.
• Analiza usklađenosti: Automatska provjera web-stranica voditelja obrade na rizike u pogledu zaštite podataka (skener kolačića).
• Izrada pravnih tekstova: Prerada podataka o tvrtki i kontaktnih podataka kontrolora za izradu prilagođenih pravnih tekstova uz pomoć umjetne inteligencije.
• Naplata i upravljanje računima: Upravljanje korisničkim računima, dodjela ograničenja sesija (npr. 5.000 sesija na besplatnom planu, 500.000 na poslovnom planu) i obrada prijenosa sesija.
• Upravljanje agencijom: Omogućuje upravljanje do 25 podračuna na planu Agency, uključujući pružanje stranica za preprodavače i funkcija slanja e-pošte.

Obrada podataka za vlastite potrebe obrađivača, osobito za vlastite potrebe oglašavanja ili za izradu korisničkih profila, što nadilazi ugovornu pružanje usluga, strogo je zabranjena, osim ako ne postoji izričito zakonsko ovlaštenje ili zaseban pristanak.

§ 3 Vrsta osobnih podataka

U okviru obrade podataka obrađuju se sljedeće kategorije osobnih podataka. Kontrolor određuje točan opseg podataka korištenjem Biscotti CMP-a i konfiguracijom samog softvera:

• Podaci o privoli: Odluke (privola/odbijanje za različite kategorije kao što su Bitno, Funkcionalno, Analitika, Marketing, Usluge umjetne inteligencije), vremenski žigovi (datum i točno vrijeme privole), jedinstveni identifikacijski broj (za pseudonimnu dodjelu odluke odgovarajućem uređaju/pregledniku).
• Tehnički podaci: IP adrese (obrađuju se prvenstveno za identifikaciju nadležnosti na temelju lokacije i, kao pravilo, odmah se anonimiziraju/skraćuju, osim ako kontrolor ne konfigurira drugačije), informacije o pregledniku, informacije o uređaju, nizovi korisničkog agenta, podaci o sesiji.
• Podaci o kolačićima i praćenju: rezultati skeniranja web-stranica kontrolora, uključujući pronađene kolačiće, sadržaj lokalnog spremanja, praćenike trećih strana i njihovu klasifikaciju.
• Sadržaj generiran umjetnom inteligencijom: Podaci koje kontrolor unosi u Legal Suite Assistant za generiranje pravnih tekstova (politika privatnosti, pravna napomena, uvjeti i odredbe). To može uključivati podatke o tvrtki, imena ovlaštenih predstavnika, adrese i određene aktivnosti obrade, koji se obrađuju putem Alibaba Cloud Model Studio (Qwen) API-ja.
• Kontaktni podaci (vlasnici računa): ime i prezime, adresa e-pošte, naziv tvrtke, poštanska adresa, broj telefona, broj poreznog registra (PDV) kupaca ili vlasnika računa.
• Podaci o korištenju: aktivnosti na nadzornoj ploči, statistika banera (pregledi, interakcije, stope prihvaćanja), izvješća o usklađenosti, dnevnici revizije promjena na računu.
• Podaci o plaćanju: Podaci o naplati obrađuju se putem pružatelja usluga plaćanja Stripe (pri čemu Stripe izravno tokenizira podatke o kreditnim karticama i oni se ne pohranjuju u nešifriranom obliku kod procesora).

§ 4 Kategorije ispitanika

Obrada se odnosi na sljedeće kategorije ispitanika:

• Posjetitelji web-stranice (krajnji korisnici): Fizičke osobe koje posjećuju web-stranice kontrolora i čije se odluke o davanju privola traže, obrađuju i pohranjuju putem Biscotti CMP bannera.
• Kupci (vlasnici računa): Fizičke osobe, obrtnici ili predstavnici pravnih osoba koji su, kao ugovorni partneri obrađivača podataka, registrirali račun na Biscotti CMP.
• Članovi tima i zaposlenici: Osobe koje je vlasnik računa (kontrolor) pozvao kao dodatne korisnike na nadzornoj ploči Biscotti CMP radi upravljanja sustavom.
• Klijenti agencija (vlasnici podračuna): Krajnji korisnici agencija koji koriste tarifu "Agencija" i za koje su stvoreni podračuni.

§ 5 Obveze i prava voditelja obrade

5.1 Zakonitost obrade Kontrolor je isključivo odgovoran za procjenu zakonitosti povjerene obrade i za zaštitu prava ispitanika (čl. 4. st. 7. GDPR-a). Kontrolor mora osigurati da postoji valjana pravna osnova (npr. privola sukladno članku 6. stavku 1. točki (a) GDPR-a ili legitimni interes sukladno članku 6. stavku 1. točki (f) GDPR-a) za obradu osobnih podataka od strane obrađivača. Ovo se posebno odnosi na korištenje Biscotti CMP-a za dobivanje privole u skladu s člankom 25. stavkom 1. TDDDG-a.

5.2 Obveze informiranja Kontrolor je u potpunosti odgovoran za informiranje ispitanika (posebno posjetitelja web-stranice) o obradi podataka na transparentan, precizan i pravovremen način u skladu s člancima 13. i 14. GDPR-a. U tu svrhu, obrađivač će kontroloru dostaviti potrebne tehničke informacije o funkcionalnosti Biscotti CMP-a, kao i primjere tekstova putem Legal Suite Assistanta. Pravna provjera i integracija politike privatnosti odgovornost su kontrolora.

5.3 Korištenje od strane agencija i preprodavača Ako voditelj obrade koristi tarifu "Agencija" i otvara podračune za svoje klijente, voditelj obrade ostaje jedini ugovorni partner i voditelj obrade u odnosu na obrađivača. Kontrolor jamči da ima sklopljene potrebne ugovorne sporazume (uključujući vlastite sporazume o obradi podataka) sa svojim krajnjim korisnicima. Ako kontrolor postavi stranicu preprodavača ili koristi vlastite poslužitelje e-pošte pod vlastitom domenom, on snosi isključivu odgovornost za tu infrastrukturu prema zakonima o zaštiti podataka i zaštiti tržišnog natjecanja. Izvršitelj ne prihvaća nikakvu odgovornost u tom pogledu.

5.4 Prijava pogrešaka Kontrolor podataka mora odmah i u cijelosti obavijestiti obraditelja podataka ako pri pregledu rezultata obrade otkrije pogreške ili nepravilnosti koje se odnose na propise o zaštiti podataka.

§ 6 Pravo voditelja obrade na davanje uputa

6.1 Priroda i opseg uputa Obraditelj obrađuje osobne podatke isključivo na temelju dokumentiranih uputa kontrolora, osim ako mu zakon Unije ili zakon države članice na koji se odnosi ne nalaže drugačije (članak 28. stavak 3. točka a) GDPR-a). U takvom slučaju, obrađivač će o ovom zakonskom zahtjevu obavijestiti voditelja obrade prije obrade, osim ako relevantni zakon ne zabranjuje takvu obavijest zbog važnog javnog interesa.

Glavni ugovor i ovi OUP-ovi čine početne dokumentirane upute. Korištenje funkcija Biscotti CMP-a (npr. konfiguracija bannera, pokretanje skeniranja, generiranje tekstova) od strane voditelja obrade u nadzornoj ploči smatrat će se dokumentiranim pojedinačnim uputama.

6.2 Oblik uputa Uputstva se općenito mogu izdati putem korisničkog sučelja softvera (aplikacije). Sva daljnja uputstva moraju biti dostavljena u pisanom obliku (npr. e-poštom na [email protected]). Usmena uputstva mora voditelj obrade bez odgode potvrditi u pisanom obliku.

6.3 Prigovori na upute Obrađivač je dužan odmah obavijestiti voditelja obrade ako smatra da uputa krši Uredbu (EU) 2016/679 (GDPR), Zakon o zaštiti podataka (BDSG) ili druge odredbe o zaštiti podataka Unije ili država članica. Obrađivač ima pravo obustaviti provedbu relevantne upute dok je voditelj obrade ne potvrdi ili izmijeni. Obrađivač može odbiti upute koje su očitno nezakonite.

§ 7 Obveza povjerljivosti

7.1 Obveza zaposlenika Obrađivač potvrđuje da je sve osobe ovlaštene za obradu osobnih podataka voditelja obrade (zaposlenike, slobodnjake, tijela) obvezao na tajnost prije početka njihovih aktivnosti (čl. 28. st. 3. točka b. GDPR-a) ili da su podložni odgovarajućoj zakonskoj obvezi tajnosti. Ova obveza također obuhvaća tajnost podataka i ostaje na snazi i nakon prestanka djelatnosti ili radnog odnosa.

7.2 Obuka i podizanje svijesti Obrađivač će osigurati da su osobe ovlaštene za obradu podataka redovito upućivane i upoznate s odredbama o zaštiti podataka (GDPR, BDSG) i sigurnosti podataka. Obrađivač, kojeg zastupa uprava (Daniel Bosch, Philipp André Marschall), osigurat će korporativnu kulturu koja je u skladu s propisima o zaštiti podataka.

7.3 Službenik za zaštitu podataka Kada to zakon zahtijeva prema odjeljku 38. stavku 1. BDSG-a ili članku 37. GDPR-a (npr. kada je općenito uključeno najmanje 20 osoba u trajnoj automatiziranoj obradi), obrađivač podataka imenovao je kompetentnog i pouzdanog službenika za zaštitu podataka.

Ako ne postoji zakonska obveza imenovanja službenika za zaštitu podataka, obrađivač podataka svejedno osigurava da rukovodstvo u potpunosti nadzire i ispunjava obveze zaštite podataka.

Članak 8. Tehničke i organizacijske mjere (TOM-ovi) u skladu s člankom 32. GDPR-a

8.1 Načelo sigurnosti obrade Obraditelj podataka ovime izjavljuje da je, uzimajući u obzir stanje tehnike, troškove provedbe i prirodu, opseg, okolnosti i svrhe obrade, kao i različitu vjerojatnost i težinu rizika za prava i slobode fizičkih osoba, obrađivač podataka je proveo odgovarajuće tehničke i organizacijske mjere (TOM-ove) kako bi osigurao razinu sigurnosti primjerenu riziku (članak 32. GDPR-a). Te se mjere temelje na priznatim standardima informacijske sigurnosti (kao što su ISO 27001 i SOC 2).

8.2 Specifične mjere Obrađivač će, osobito, provesti sljedeće mjere i održavati ih tijekom cijelog trajanja ugovora:

a) Pseudonimizacija i šifriranje (čl. 32. st. 1. točka a. GDPR-a)

• Šifriranje tijekom prijenosa: Svi prijenosi podataka između krajnjeg korisnika, voditelja obrade i Biscotti CMP infrastrukture moraju se odvijati koristeći najsuvremenije protokole šifriranja (TLS 1.2 ili TLS 1.3).
• Šifriranje pohrane: Sve baze podataka i mediji za pohranu na Hetzner Online GmbHi (lokacija poslužitelja: NL) šifrirani su na razini tvrdog diska (AES-256).
• Pseudonimizacija: Odluke o privoli nisu povezane s pravim imenima, već s nasumično generiranim kriptografskim identifikacijskim brojem. IP adrese se prema zadanim postavkama skraćuju/anonimiziraju čim je mapiranje temeljeno na lokaciji dovršeno.

b) Povjerljivost (kontrola pristupa)

• Kontrola pristupa: Fizičku sigurnost korištenih poslužitelja osigurava vanjski pružatelj usluga infrastrukture (npr. Google Cloud). Centri za podatke podliježu strogim kontrolama pristupa i sigurnosti u skladu s industrijskim standardima. Vlastiti uredski prostori tvrtke Campcruisers GmbH osigurani su odgovarajućim ograničenjima fizičkog pristupa (npr. sigurnosnim bravama).
• Kontrola pristupa: Pristup IT sustavima obrađivača podataka osiguran je restriktivnim pravilima lozinki, višefaktorskom autentifikacijom (MFA) za relevantan administrativni pristup i istekom sesije. Sustavi kao što je Cloudflare Turnstile koriste se za zaštitu pokušaja prijave od napada robota.
• Kontrola pristupa: Primjenjuje se načelo najmanjih privilegija (kontrola pristupa temeljena na ulogama – RBAC). Zaposlenici obrađivača podataka imaju pristup samo onim podacima koji su strogo nužni za njihove zadatke. Podaci korisnika za različite tarife logički su odvojeni jedni od drugih (višekorisnička podrška).

c) Integritet (kontrole otkrivanja, unosa i odvajanja)

• Kontrola otkrivanja: Podaci se ne prenose na fizičkim medijima. Prijenos se odvija isključivo putem sigurnih mreža.
• Kontrola unosa: Biscotti CMP ima sveobuhvatan dnevnik revizije. U bilo kojem trenutku moguće je pratiti koji je korisnik (kupac, član tima, agencija) napravio koje promjene na nadzornoj ploči i u koje vrijeme (npr. promjene tekstova banera, prilagodbe kategorija kolačića).
• Kontrola segregacije: Podaci prikupljeni za različite svrhe obrađuju se odvojeno. Produkcijsko, testno i razvojno okruženje strogo su izolirana jedni od drugih.

d) Dostupnost i otpornost (čl. 32. st. 1. točke b) i c) GDPR-a)

• Dostupnost: Obrađivač poduzima odgovarajuće mjere u skladu sa standardima industrije kako bi osigurao dostupnost sustava (hosting na Hetzner Online GmbH). Međutim, ne jamče se izričiti SLA razini dostupnosti i ne postoji potpuna redundantnost infrastrukture.
• Otpornost: Arhitektura sustava dizajnirana je na takav način da se očekivani obujam sesija općenito pouzdano obrađuje. Međutim, ne koriste se namjenski mehanizmi za uravnoteženje opterećenja ili automatsko skaliranje.
• Obnova podataka: Obraditelj poduzima odgovarajuće mjere (npr. redovito sigurnosno kopiranje baza podataka) kako bi omogućio obnovu podataka u slučaju tehničkog incidenta. Međutim, ne jamči se obnova bez gubitka, zbog čega je kontrolor dužan koristiti dostupne funkcije izvoza na vlastitu odgovornost.

e) Postupci za redovitu provjeru (čl. 32. st. 1. točka (d) GDPR-a)

• Obrađivač redovito provjerava učinkovitost poduzetih tehničkih i organizacijskih mjera unutar organizacije.
• Uspostavljeni su interni postupci odgovora na incidente za rješavanje potencijalnih incidenata unutar pravnog okvira.
• TOM-ovi su predmet procesa kontinuiranog poboljšanja.

8.3 Prilagodba tehničkih i organizacijskih mjera Tehničke i organizacijske mjere podliježu tehničkom napretku i daljnjem razvoju. Obraditelj ima pravo provesti alternativne odgovarajuće mjere, pod uvjetom da razina sigurnosti nije niža od razine navedenih mjera. O značajnim promjenama obraditelj mora pisanim putem obavijestiti voditelja obrade.

§ 9 Podizvođači

9.1 Angažiranje podizvođača Kontrolor ovime daje obrađivaču opću pisanu ovlast (čl. 28. st. 2. GDPR-a) za angažiranje daljnjih obrađivača (podizvođača). Obrađivač podataka mora osigurati da pažljivo odabire podizvođače i da im ugovorno nameće iste obveze zaštite podataka kao što su utvrđene u ovom Ugovoru (čl. 28. st. 4. GDPR-a).

9.2 Trenutno ovlašteni podizvođači U trenutku sklapanja ovog ugovora, sljedeći podizvođači sudjeluju u pružanju usluga Biscotti CMP i smatraju se ovlaštenima od strane voditelja obrade. Prerađivač je osigurao da, u slučaju američkih pružatelja usluga, odgovarajuća podružnica u EU djeluje kao ugovorni partner kako bi se održala razina zaštite podataka u EU:

9.3 Prijenos u treće zemlje Kada se obrada provodi putem podizvođača izvan Europske unije (EU) ili Europskog gospodarskog prostora (EGP) (npr. u slučaju ponovnog slanja), obrađivač će osigurati da su ispunjeni posebni zahtjevi članaka 44. i sl. Uredbe GDPR. To se općenito postiže sklapanjem trenutačnih standardnih ugovornih odredbi (SCC) Europske komisije u kombinaciji s procjenom utjecaja prijenosa i provedbom dodatnih tehničkih mjera (npr. šifriranje).

9.4 Promjena ili angažiranje novih podizvođača Obraditelj će obavijestiti voditelja obrade o svakoj namjeravanoj promjeni u vezi s angažiranjem ili zamjenom podizvođača. Obavijest se dostavlja u pisanom obliku (npr. e-poštom na adresu pohranjenu na računu) najmanje 30 dana prije planirane promjene. Kontrolor može uložiti prigovor na promjenu iz opravdanih razloga koji se odnose na zakon o zaštiti podataka u roku od 14 dana od primitka obavijesti. Ako se ne uloži prigovor, promjena se smatra odobrenom. U slučaju opravdanog prigovora koji obrađivač ne može riješiti poduzimanjem razumnih mjera, kontrolor ima pravo raskinuti glavni ugovor izvanredno s učinkom od dana kada promjena stupa na snagu.

§ 10 Pomoć pri ostvarivanju prava ispitanika

10.1 Obveza pružanja podrške Obraditelj će, gdje je to moguće, pružiti podršku voditelju obrade odgovarajućim tehničkim i organizacijskim mjerama u ispunjavanju obveze voditelja obrade da odgovori na zahtjeve za ostvarivanje prava ispitanika navedenih u Poglavlju III. Uredbe (članci 15. do 22. Uredbe) (članak 28. stavak 3. točka e) Uredbe).

10.2 Tehnička implementacija u Biscotti CMP Biscotti CMP ima za cilj pružiti tehničku podršku voditelju obrade u ispunjavanju njegovih obveza:

• Pravo na pristup (čl. 15 GDPR) i pravo na prenosivost podataka (čl. 20 GDPR): Softver nudi mogućnosti izvoza podataka (npr. kao CSV), a od službe za podršku mogu se zatražiti i izvozi određenih ID-ova pristanka na način usklađen s propisima o zaštiti podataka.
• Pravo na povlačenje privole (čl. 7. st. 3. GDPR-a): Biscotti CMP banner za privolu krajnjim korisnicima nudi mogućnost pregleda njihovih postavki i povlačenja privole u bilo kojem trenutku.
• Pravo na brisanje (čl. 17 GDPR): Podatke može izbrisati kontrolor pomoću funkcija dostupnih na nadzornoj ploči ili, na zahtjev koji se može provjeriti, može se dogovoriti njihovo brisanje kontaktiranjem podrške.

10.3 Prosljeđivanje zahtjeva Ako se subjekt podataka izravno obrati procesoru sa svojim pravima, procesor neće samostalno odgovoriti na zahtjev, već će odmah uputiti subjekta podataka na kontrolora, pod uvjetom da se subjekt podataka može identificirati kao pripadajući kontroloru na temelju dostupnih podataka. Procesor će bez odgode proslijediti zahtjev kontroloru.

§ 11 Podrška pri procjeni utjecaja na zaštitu podataka i obveze izvještavanja

11.1 Procjena utjecaja obrade na zaštitu podataka (čl. 35. GDPR) Obrađivač pomaže voditelju obrade, uzimajući u obzir prirodu obrade i informacije dostupne njemu, pri provedbi procjene utjecaja na zaštitu podataka (DPIA) u skladu s člankom 35. GDPR-a, kao i pri svakoj potrebnoj prethodnoj konzultaciji s nadležnim tijelom za nadzor (članak 36. GDPR-a).

11.2 Obavijest o povredi osobnih podataka Obrađivač je obvezan bez odgađanja, a u svakom slučaju u roku od 48 sati od saznanja, pisanim putem obavijestiti voditelja obrade o svakoj povredi osobnih podataka (povredi podataka) koja utječe na podatke obrađene u ime voditelja obrade.

§ 12 Brisanje i povrat podataka

12.1 Brisanje po prestanku ugovora Po dovršetku pružanja usluga obrade (prestanak glavnog ugovora), obrađivač je obvezan, prema odluci voditelja obrade, izbrisati ili vratiti sve osobne podatke, pod uvjetom da ne postoji obveza prema pravu Unije ili pravu država članica (npr. obveze čuvanja poslovnih knjiga prema njemačkom Trgovačkom zakoniku (HGB) i njemačkom Poreznom zakoniku (AO)) na pohranu osobnih podataka.

12.2 Standardni postupak tvrtke Biscotti CMP Osim ako voditelj obrade ne izda drugačije upute, primjenjuje se sljedeći standardni postupak: Voditelj obrade ima mogućnost neovisno izraditi sigurnosnu kopiju svojih podataka prije isteka ugovora koristeći funkciju izvoza (CSV). Nakon što raskid stupi na snagu i istekne razdoblje naplate, račun voditelja obrade bit će deaktiviran. Osobni podaci pohranjeni na računu zadržavaju se u prijelaznom razdoblju od 30 dana (roka čuvanja) kako bi se omogućilo vraćanje u slučaju slučajnog povrata na nižu razinu. Po isteku tih 30 dana, podaci se nepovratno i u skladu s propisima o zaštiti podataka brišu iz produkcijskih sustava.

12.3 Potvrda o brisanju Na izričit zahtjev voditelja obrade, izvršitelj obrade pisanim će putem potvrditi voditelju obrade da su podaci izbrisani u skladu s propisima o zaštiti podataka.

§ 13 Prava na inspekciju i reviziju

13.1 Pravo na reviziju Obrađivač će kontroloru dostaviti sve potrebne informacije kako bi se dokazala usklađenost s obvezama utvrđenima u članku 28. GDPR-a i u ovom ugovoru. Omogućit će i surađivati u revizijama – uključujući inspekcije – koje provodi kontrolor ili revizor imenovan od strane kontrolora, koji je obvezan na tajnost.

13.2 Provođenje revizija Kako se ne bi ugrozila sigurnost podatkovnih centara i povjerljivost podataka drugih klijenata (segregacija klijenata), stranke se slažu o sljedećem postupku za revizije:

• Kontrolor podataka primarno će ostvarivati svoje pravo inspekcije traženjem i procjenom relevantnih certifikata (npr. ISO 27001) ili putem detaljnih upitnika o IT sigurnosti.
• Ako se pokaže da su te informacije nedovoljne, Kontrolor podataka ima pravo provesti inspekciju na licu mjesta u poslovnim prostorijama tvrtke Campcruisers GmbH (Berliner Str. 21 B, 14612 Falkensee).
• Inspekcije na licu mjesta moraju se najaviti s razumnim rokom obavijesti (obično najmanje 14 dana).

14.1 Odgovornost i naknada štete

14.1 Vanjska odgovornost (prema ispitanicima) Kontrolor i obrađivač odgovorni su ispitaniku za naknadu štete u skladu s člankom 82. Uredbe GDPR. Obrađivač je odgovoran za štetu proizašlu iz obrade samo ako nije ispunio svoje obveze iz Uredbe GDPR ili je postupio suprotno zakonitim uputama kontrolora.

14.2 Unutarnji odnos (između stranaka) U svom unutarnjem odnosu, stranke su oslobođene odgovornosti ako jedna strana dokaže da ni na koji način nije odgovorna za okolnost koja je uzrokovala štetu.

14.3 Ograničenje odgovornosti iz glavnog ugovora Osim toga, primjenjuju se odredbe o odgovornosti iz glavnog ugovora (Općih uvjeta poslovanja). Odgovornost za laku nepažnju isključena je, osim ako se ne radi o kršenju bitnih ugovornih obveza (kardinalnih obveza). U tom slučaju odgovornost je ograničena na predvidivu štetu tipičnu za ugovor.

§ 15 Završne odredbe

15.1 Pisani oblik i izmjene Izmjene i dopune ovog ugovora moraju biti u pisanom obliku (npr. e-poštom). Obrađivač podataka zadržava pravo izmijeniti ovaj ugovor kako bi ga prilagodio promjenama u pravnoj situaciji ili tehničkom razvoju. Voditelj obrade bit će obaviješten o svim izmjenama e-poštom.

15.2 Redoslijed prednosti Ako pojedine odredbe ovog Ugovora o obradi podataka budu u suprotnosti s odredbama glavnog ugovora (Općih uvjeta poslovanja), odredbe ovog Ugovora o obradi podataka imat će prednost u pogledu zaštite podataka i sigurnosti podataka.

15.3 Klauzula o odvojivosti Ako bilo koja pojedinačna odredba ovog sporazuma bude ili postane nevažeća ili neprovediva, to neće utjecati na valjanost preostalih odredbi. Stranke se obvezuju zamijeniti nevažeću ili neprovedivu odredbu valjanom i provedivom odredbom.

15.4 Primjenjivo pravo i nadležnost Ovaj Ugovor isključivo se uređuje zakonima Savezne Republike Njemačke, s isključenjem Konvencije UN-a o ugovorima o međunarodnoj prodaji robe. Isključivo nadležno sudsko mjesto za sve sporove koji proizlaze iz ovog Ugovora ili su s njim povezani bit će, u mjeri u kojoj to zakon dopušta, sjedište Obrađivača podataka (Falkensee). Jezik Ugovora je njemački.