Ugovor o obradi podataka

Ovaj Ugovor o obradi podataka sklapaju:

U ovom Ugovoru:

• “GDPR” označava Uredbu (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016.
• “Osobni podaci” ima značenje iz članka 4. stavka 1. GDPR-a.
• “Obrada” ima značenje iz članka 4. stavka 2. GDPR-a.
• “Platforma” označava SaaS uslugu Bokrez dostupnu na bokrez.com.
• “Ispitanici” označava krajnje klijente Voditelja obrade čiji se osobni podaci obrađuju putem Platforme.
• “Podugovaratelji obrade” označava treće strane koje Izvršitelj obrade angažira za obradu osobnih podataka u ime Voditelja obrade.

Izvršitelj obrade obrađuje osobne podatke u ime Voditelja obrade isključivo u svrhu pružanja usluge Bokrez kako je opisano u Uvjetima korištenja.

3.1 Vrste osobnih podataka koji se obrađuju

• Identifikacijski podaci: ime, prezime
• Kontaktni podaci: e-pošta, broj mobitela
• Podaci o rezervacijama: datumi, usluge, bilješke uz termin
• CRM bilješke i oznake koje Voditelj obrade bilježi o ispitanicima
• Podaci o programima lojalnosti: broj bodova/pečata, povijest transakcija
• Podaci o recenzijama i ocjenama
• Poruke unutar platforme između ispitanika i Voditelja obrade

Bokrez ne obrađuje posebne kategorije osobnih podataka (čl. 9 GDPR-a) u okviru standardne usluge, osim ako Voditelj obrade izričito ne unese takve podatke u polja slobodnog teksta, za što snosi punu odgovornost.

3.2 Kategorije ispitanika

Krajnji klijenti Voditelja obrade (fizičke osobe koje rezerviraju termine ili komuniciraju s Voditeljem obrade putem Platforme).

Izvršitelj obrade (Bokrez) obvezuje se:

Bokrez provodi sljedeće tehničke i organizacijske mjere zaštite osobnih podataka ispitanika:

Voditelj obrade ovim općenito ovlašćuje Bokrez da angažira podugovaratelje obrade. Bokrez osigurava da su svi podugovaratelji vezani ugovornim obvezama jednakovrijednim onima iz ovog Ugovora.

Trenutni podugovaratelji obrade:

Bokrez će obavijestiti Voditelja obrade o planiranim promjenama podugovaratelja najmanje 14 dana unaprijed. Voditelj obrade može uložiti prigovor u roku od 10 dana. Ako prigovor ne može biti riješen, Voditelj obrade ima pravo raskinuti ugovor bez penala.

Bokrez će, bez nepotrebne odgode, a u svakom slučaju unutar 48 sati od saznanja za povredu osobnih podataka, obavijestiti Voditelja obrade o povredi koja uključuje osobne podatke koje obrađuje u njegovo ime.

Obavijest će sadržavati najmanje:

• Opis prirode povrede, uključujući kategorije i okvirni broj pogođenih ispitanika i zapisa
• Kontakt podatke osobe za daljnje informacije
• Opis vjerojatnih posljedica povrede
• Opis mjera koje su poduzete ili se planiraju poduzeti

Voditelj obrade zadržava odgovornost za vlastite obveze prijave povreda AZOP-u (u roku 72 sata prema čl. 33 GDPR-a) i obavještavanja ispitanika (prema čl. 34 GDPR-a).

Bokrez će, uzimajući u obzir prirodu obrade, pomoći Voditelju obrade odgovarajućim tehničkim mjerama u mjeri mogućeg pri ispunjavanju zahtjeva ispitanika za ostvarivanje prava (pristup, ispravak, brisanje, ograničenje, prenosivost, prigovor).

Bokrez je dužan bez odgode, a najkasnije u roku od 5 radnih dana, proslijediti Voditelju obrade sve zahtjeve ispitanika koje primi izravno, a odnose se na podatke koje Bokrez obrađuje u ime Voditelja obrade.

Voditelj obrade izjavljuje i jamči da:

• Ima valjanu pravnu osnovu za prikupljanje i obradu osobnih podataka ispitanika putem Platforme
• Ispitanike je informirao o obradi njihovih podataka u skladu s čl. 13. i 14. GDPR-a (npr. putem vlastite politike privatnosti)
• Koristit će Platformu isključivo u zakonite svrhe
• Odmah će obavijestiti Bokrez o svim zahtjevima ili pritužbama ispitanika koji se odnose na obradu putem Platforme
• Ima pravo davati upute Bokrzu u pogledu obrade, uključujući upute za brisanje ili izmjenu podataka

Voditelj obrade ima pravo provjeriti Bokrezovu usklađenost s ovim Ugovorom. Bokrez će:

• Na zahtjev staviti na raspolaganje relevantnu dokumentaciju o sigurnosnim mjerama i usklađenosti
• Jednom godišnje, uz prethodnu najavu od 30 dana, dopustiti Voditelju obrade ili ovlaštenom neovisnom revizoru provođenje revizije, pod uvjetom da revizija ne ometa operativno poslovanje Bokreza i da su troškovi revizije na teret Voditelja obrade

Po isteku ili raskidu pretplate:

• Voditelju obrade bit će omogućen izvoz podataka u strojno čitljivom formatu (CSV, JSON) u roku od 30 dana
• Nakon isteka tog roka, Bokrez će izbrisati sve osobne podatke ispitanika koje je obrađivao u ime Voditelja obrade, osim onih za koje postoji zakonska obveza čuvanja
• Na zahtjev, Bokrez će dostaviti pisanu potvrdu brisanja podataka

Bokrez je odgovoran Voditelju obrade za izravne štete koje nastanu zbog kršenja ovog Ugovora ili primjenjivog prava o zaštiti podataka od strane Bokreza, sukladno ograničenjima iz Uvjeta korištenja.

Svaka stranka odgovorna je regulatornom tijelu za vlastito kršenje propisa o zaštiti osobnih podataka.

Ovaj Ugovor uređuje se i tumači u skladu s pravom Republike Hrvatske i primjenjivim pravom EU, posebno GDPR-om. Za sve sporove nadležan je Trgovački sud u Zagrebu.

Bokrez može izmijeniti ovaj Ugovor uz prethodnu pisanu obavijest od najmanje 30 dana. Nastavak korištenja Platforme nakon datuma izmjene smatra se prihvaćanjem izmijenjenog Ugovora. Ako se Voditelj obrade ne slaže s izmjenama, može raskinuti pretplatu bez penala.