Ugovor o obradi podataka po nalogu (AVV)

1. Ugovorne strane

1.1 Voditelj obrade je kupac kako je naveden u glavnom ugovoru, u narudžbi ili u korisničkom računu kupca (u daljnjem tekstu: „kupac“).

1.2 Izvršitelj obrade je društvo SimpliServ GmbH, Gewerbepark West 2a, 8504 Preding, Austrija, FN 676594t, Zemaljski sud za građanske predmete Graz (Landesgericht für ZRS Graz), PDV ID ATU83276107, koje zastupa direktor Luca Malli (u daljnjem tekstu: „SimpliServ“).

1.3 SimpliServ kupcu pruža softver SimpliServ kao softver kao uslugu (u daljnjem tekstu: „glavni ugovor“: Opći uvjeti društva SimpliServ GmbH zajedno s narudžbom odnosno pojedinačnim SaaS-ugovorom). Pritom SimpliServ obrađuje osobne podatke u ime kupca. Ovaj ugovor primjenjuje se na sve aktivnosti u kojima SimpliServ, njegovi zaposlenici ili podizvršitelji obrade dolaze u doticaj s osobnim podacima kupca.

2. Predmet i trajanje

2.1 SimpliServ obrađuje osobne podatke u ime kupca radi pružanja, rada i održavanja softvera SimpliServ te podrške kupcu (podrška, postavljanje, uvoz podataka, obuka).

2.2 Ugovor vrijedi dok traje glavni ugovor i nakon toga, sve dok SimpliServ ne izbriše ili vrati sve podatke kupca u skladu s točkom 12.

3. Vrsta, svrha, vrste podataka i ispitanici

3.1 Vrsta obrade: prikupljanje, pohrana, organizacija, izmjena, uvid, uporaba, prijenos (na zahtjev kupca), ograničavanje i brisanje.

3.2 Svrha: rad funkcija koje kupac koristi, osobito upravljanje kupcima i vozilima, nalozi i tiketi, termini, ponude, računi i blagajna, plaćanja, skladište i nabava, komunikacija s krajnjim kupcima (e-pošta, SMS, WhatsApp, telefon), raspored rada, evidencija radnog vremena i kadrovska dokumentacija, potpisi, analize te funkcije potpomognute umjetnom inteligencijom, ako ih kupac uključi.

3.3 Vrste podataka: osnovni i kontaktni podaci (ime, adresa, e-pošta, telefon, tvrtka, PDV ID); ugovorni podaci, podaci o nalozima i vozilima (npr. registarska oznaka, identifikacijski broj vozila, povijest popravaka); podaci o računima, plaćanjima i bankovni podaci (IBAN, SEPA ovlaštenja, status plaćanja); sadržaj komunikacije (poruke, e-poruke, snimke i transkripti poziva, ako su uključeni); podaci o zaposlenicima kupca (raspored rada, radno vrijeme, odsutnosti, ugovori o radu, podaci o plaćama i porezima, ako se evidentiraju); potpisi, fotografije, dokumenti i datoteke koje kupac učita; podaci o pristupu i zapisnički podaci (korisnički račun, IP adresa, vrijeme, aktivnosti).

3.4 Ispitanici: krajnji kupci i potencijalni kupci kupca, zaposlenici i kandidati za zaposlenje kod kupca, dobavljači i poslovni partneri kupca te njihove kontaktne osobe, korisnici softvera.

3.5 Posebne kategorije osobnih podataka iz čl. 9. GDPR-a ne obrađuju se planirano. Ako kupac evidentira takve podatke (npr. bolovanja), sam osigurava pravnu osnovu.

4. Upute

4.1 SimpliServ obrađuje podatke samo prema dokumentiranim uputama kupca, osim ako ga na to obvezuje pravo EU-a ili države članice. U tom slučaju SimpliServ unaprijed obavješćuje kupca o toj obvezi, ako to zakon dopušta.

4.2 Upute proizlaze iz ovog ugovora, glavnog ugovora i postavki koje kupac odabere u softveru. Pojedinačne upute kupac daje u tekstualnom obliku (dovoljna je e-pošta).

4.3 Ako SimpliServ smatra da je neka uputa nezakonita, o tome odmah obavješćuje kupca i smije obustaviti njezino izvršenje do razjašnjenja.

4.4 SimpliServ ne koristi podatke u vlastite svrhe. Osobito ih ne prodaje i ne koristi za treniranje modela umjetne inteligencije. Dopuštene su anonimizirane statistike korištenja koje se ne mogu povezati s pojedincima, a služe radu i poboljšanju softvera.

5. Mjesto obrade

5.1 Poslužitelji, baze podataka i sigurnosne kopije nalaze se u Njemačkoj. Pojedine usluge navedene u Prilogu 1 mogu obrađivati podatke i izvan EU-a odnosno EGP-a; za njih vrijedi točka 5.2.

5.2 Prijenos u treću zemlju provodi se samo ako su ispunjeni uvjeti iz čl. 44. i dalje GDPR-a (odluka o primjerenosti, osobito okvir EU-US Data Privacy Framework, ili standardne ugovorne klauzule). Prilog 1 navodi predmetne podizvršitelje obrade.

6. Povjerljivost

6.1 Sve osobe koje u SimpliServu imaju pristup podacima pisanim su putem obvezane na povjerljivost (tajnost podataka prema § 6 austrijskog Zakona o zaštiti podataka, DSG). Ta obveza vrijedi i nakon prestanka njihova rada.

6.2 Pristup podacima kupca imaju samo osobe kojima je potreban za obavljanje njihovih zadataka, osobito za podršku na zahtjev kupca.

7. Tehničke i organizacijske mjere

7.1 SimpliServ provodi mjere u skladu s čl. 32. GDPR-a koje su opisane u Prilogu 2.

7.2 SimpliServ smije prilagođavati mjere najnovijem stanju tehnike, sve dok se razina zaštite ne smanji. Bitne izmjene se dokumentiraju.

8. Podizvršitelji obrade

8.1 Kupac odobrava podizvršitelje obrade navedene u Prilogu 1. Usluge označene kao opcionalne koriste se samo ako kupac uključi pripadajuću funkciju.

8.2 SimpliServ najavljuje nove ili zamijenjene podizvršitelje obrade najmanje 4 tjedna unaprijed u tekstualnom obliku (e-poštom, obavijesti u softveru ili ažuriranjem ove stranice). Kupac u tom roku može uložiti prigovor iz važnog razloga povezanog sa zaštitom podataka. Ako strane ne pronađu rješenje, kupac može izvanredno otkazati glavni ugovor za predmetnu uslugu.

8.3 SimpliServ svakom podizvršitelju obrade ugovorom nameće iste obveze zaštite podataka kao u ovom ugovoru i odgovara za njihovo poštovanje.

8.4 Podizvršiteljskom obradom ne smatraju se sporedne usluge bez pristupa podacima kupca (npr. telekomunikacije) ni usluge s kojima kupac sam sklapa ugovor i koje sam povezuje. Za te usluge odgovoran je sam kupac.

9. Pomoć kupcu

9.1 SimpliServ odgovarajućim mjerama pomaže kupcu u postupanju po zahtjevima ispitanika (čl. 12. do 22. GDPR-a). Softver u tu svrhu nudi funkcije za prikaz, izvoz, ispravak i brisanje. Ako se ispitanik obrati izravno SimpliServu, SimpliServ odmah prosljeđuje zahtjev kupcu.

9.2 SimpliServ pomaže kupcu u osiguravanju sigurnosti obrade, pri izvješćivanju o povredama osobnih podataka, pri procjenama učinka na zaštitu podataka i prethodnim savjetovanjima (čl. 32. do 36. GDPR-a).

9.3 Pomoć koja nadilazi funkcije softvera i uobičajene informacije SimpliServ može naplatiti prema utrošenom radu, osim ako je posljedica povrede od strane SimpliServa.

10. Povrede osobnih podataka

10.1 SimpliServ kupca izvješćuje o povredi osobnih podataka bez nepotrebnog odgađanja, a najkasnije 24 sata nakon što za nju sazna. Izvješće sadrži, koliko su poznati, podatke iz čl. 33. st. 3. GDPR-a.

10.2 SimpliServ odmah poduzima mjere za ograničavanje povrede i ublažavanje njezinih posljedica.

11. Dokazi i provjere

11.1 SimpliServ kupcu na zahtjev stavlja na raspolaganje informacije potrebne za dokazivanje poštovanja ovog ugovora. Za to su u pravilu dovoljni prilozi, pisane informacije i certifikati podatkovnih centara.

11.2 Kupac ili revizor kojeg on angažira i koji je obvezan na povjerljivost smije provoditi provjere na licu mjesta: uz najavu najmanje 14 dana unaprijed, tijekom radnog vremena, bez ometanja poslovanja, u pravilu najviše jednom godišnje. Svaka strana snosi vlastite troškove.

12. Brisanje i povrat

12.1 Kupac tijekom trajanja ugovora u bilo kojem trenutku može sam izvesti svoje podatke (npr. CSV, PDF dokumenti).

12.2 Nakon prestanka glavnog ugovora SimpliServ briše podatke kupca u roku od 90 dana, osim ako kupac prije toga zatraži njihovu predaju ili zakon nalaže njihovo čuvanje. Podaci u sigurnosnim kopijama prepisuju se istekom roka čuvanja sigurnosnih kopija, najkasnije nakon daljnjih 90 dana. Podaci blagajne arhiviraju se na način zaštićen od manipulacije tijekom zakonskog roka čuvanja i brišu se tek nakon toga.

12.3 Vlastite obveze čuvanja (npr. za račune i blagajničke podatke) kupac ispunjava pravodobnim izvozom. Na zahtjev SimpliServ potvrđuje brisanje u tekstualnom obliku.

13. Odgovornost i završne odredbe

13.1 Za odgovornost se primjenjuje čl. 82. GDPR-a. U ostalom se primjenjuju pravila o odgovornosti iz glavnog ugovora.

13.2 U slučaju proturječja, ovaj ugovor u pitanjima zaštite podataka ima prednost pred glavnim ugovorom.

13.3 Izmjene zahtijevaju tekstualni oblik. Ako je neka odredba nevaljana, ostale odredbe ostaju valjane.

13.4 Primjenjuje se austrijsko pravo uz isključenje kolizijskih pravila. Mjesto nadležnosti je Graz, ako je to zakonski dopušteno.

13.5 Kontakt SimpliServa za zaštitu podataka: Luca Malli, direktor, datenschutz@simpliserv.com. Društvo SimpliServ GmbH trenutačno nije obvezno imenovati službenika za zaštitu podataka.

Prilog 1: Podizvršitelji obrade

Kupac odobrava sljedeće pružatelje usluga. „Uvijek“ znači: usluga se koristi za svakog kupca. „Opcionalno“ znači: usluga se koristi samo ako kupac uključi funkciju.

Nisu podizvršitelji obrade

Usluge koje kupac sam ugovori i poveže nisu podizvršitelji obrade SimpliServa. U njih spadaju Stripe, Mollie i SumUp (plaćanja), Lexware, ZIR, VeloConnect, JTL-Wawi, WooCommerce, Shopify i Wix (sučelja), DHL i Österreichische Post (dostava), JobRad i provjere leasinga, dohvat bankovnih podataka te Microsoft 365 (poštanski sandučić kupca). Za te usluge kupac sklapa vlastiti ugovor s pružateljem.

Vlastiti rad

Izrada PDF-ova, pretraživanje, obavijesti u stvarnom vremenu, uređivanje dokumenata, video termini i hosting e-pošte rade na vlastitim poslužiteljima SimpliServa kod Hetznera u Njemačkoj.

Prilog 2: Tehničke i organizacijske mjere (čl. 32. GDPR-a)