Ugovor o obradi podataka o ličnosti (DPA)

1. Ugovorne strane

Ovaj ugovor zaključuju:

Obrađivač podataka:
JOVAN MILIVOJEVIĆ PR ARHITEKTONSKI BIRO CADART PARAĆIN, pružalac platforme NA VREME, dostupne na adresi https://navreme.net.
Email: kontakt@navreme.net
Adresa: Vojvode Mišića 29b, sprat 2, stan 9, 35250 Paraćin
Matični broj: 64929097 · PIB: 110627690

U daljem tekstu: Obrađivač ili NA VREME.

Rukovalac podacima:
Poslovni korisnik koji je registrovao poslovni nalog na platformi NA VREME, čiji su identifikacioni podaci zabeleženi prilikom registracije.

U daljem tekstu: Rukovalac ili Poslovni korisnik.

Ovaj ugovor predstavlja sastavni deo ugovornog odnosa između NA VREME i Poslovnog korisnika.

Zaključuje se elektronskim putem, odgovarajućim prihvatanjem prilikom registracije, uz evidentiranje prihvaćene verzije ugovora i vremena prihvatanja.

Lice koje prihvata ugovor u ime Poslovnog korisnika potvrđuje da ima potrebno ovlašćenje.

2. Predmet ugovora

Predmet ovog ugovora je obrada podataka o ličnosti koju NA VREME obavlja u ime Poslovnog korisnika radi omogućavanja online zakazivanja termina, vođenja kalendara, upravljanja rezervacijama, evidencije klijenata i zaposlenih i drugih ugovorenih funkcionalnosti.

Poslovni korisnik određuje svrhe i zakonite osnove obrade podataka svojih klijenata.

NA VREME obrađuje te podatke isključivo u svojstvu obrađivača, u granicama dokumentovanih uputstava Poslovnog korisnika i primenjivog zakona.

Obrada koju NA VREME samostalno obavlja radi administracije sopstvenih naloga, obezbeđivanja platforme i korisničke podrške, kada samostalno određuje svrhe i sredstva obrade, nije predmet ovog ugovora i uređena je odgovarajućom Politikom privatnosti.

3. Trajanje, priroda i svrha obrade

Obrada traje tokom ugovornog odnosa i tokom perioda potrebnog za zakonito vraćanje ili brisanje podataka nakon njegovog prestanka.

Obuhvata prikupljanje, evidentiranje, organizovanje, strukturisanje, čuvanje, pregled, izmenu, korišćenje, prosleđivanje ovlašćenim primaocima, ograničavanje i brisanje podataka.

Svrhe obrade obuhvataju:

• Kreiranje i upravljanje rezervacijama.
• Organizaciju rasporeda zaposlenih.
• Evidenciju klijenata i njihovih termina.
• Slanje aktivnih obaveštenja povezanih sa rezervacijama.
• Omogućavanje izmene i otkazivanja termina.
• Prikaz dostupnih izveštaja i statistike.
• Izvoz podataka poslovnog korisnika.
• Druge funkcionalnosti koje Poslovni korisnik izričito aktivira.

NA VREME ne sme koristiti podatke klijenata Poslovnog korisnika za sopstveno oglašavanje, prodaju baza podataka ili svrhe koje nisu obuhvaćene odgovarajućim zakonitim osnovom.

4. Vrste podataka i kategorije lica

Podaci koji se obrađuju mogu obuhvatati:

Podatke klijenata:

Ime i prezime, email adresu, opcioni broj telefona, podatke o rezervisanim uslugama, datum i vreme termina, izabranog zaposlenog, status rezervacije, prethodne rezervacije i odgovarajuće organizacione napomene.

Kod zahteva za termin i usluga koje se pružaju na adresi klijenta, i: adresu na kojoj se usluga pruža, odgovore na dodatna pitanja koja je Poslovni korisnik postavio za uslugu, napomenu klijenta i fotografije koje klijent dobrovoljno priloži uz zahtev (fotografije se pri otpremanju ponovo obrađuju, pri čemu se uklanjaju podaci o lokaciji i uređaju).

Podatke zaposlenih i saradnika:

Ime i prezime, poslovne kontakt podatke, raspored rada, usluge koje pružaju, evidenciju dostupnosti, dodeljena prava pristupa i druge podatke neophodne za organizaciju termina.

Podatke poslovnih korisnika:

Poslovne kontakt podatke, podatke ovlašćenih korisnika naloga i odgovarajuća poslovna podešavanja.

Generički sistem nije namenjen obradi zdravstvenih podataka, medicinske dokumentacije niti drugih posebnih vrsta podataka o ličnosti.

Poslovni korisnik ne sme unositi takve podatke bez prethodnog uspostavljanja odgovarajućeg pravnog osnova i svih potrebnih dodatnih mera zaštite.

5. Dokumentovana uputstva

NA VREME obrađuje podatke isključivo na osnovu dokumentovanih uputstava Poslovnog korisnika, osim kada je određena obrada obavezna na osnovu zakona.

Dokumentovanim uputstvima smatraju se ovaj ugovor, dozvoljene radnje preduzete kroz administratorski panel, dostupna podešavanja i dodatna pisana uputstva koja su u skladu sa zakonom i ugovorenim funkcionalnostima.

Ako je NA VREME zakonom obavezan da izvrši obradu koja nije obuhvaćena uputstvima Poslovnog korisnika, o toj obavezi će ga prethodno obavestiti, osim kada zakon zabranjuje takvo obaveštavanje.

NA VREME će bez nepotrebnog odlaganja upozoriti Poslovnog korisnika ako smatra da određeno uputstvo predstavlja povredu primenjivih propisa o zaštiti podataka.

6. Obaveze poslovnog korisnika

Poslovni korisnik odgovoran je za zakonito prikupljanje i korišćenje podataka svojih klijenata i zaposlenih.

Obavezuje se da će:

1. Odrediti odgovarajući pravni osnov za obradu.
2. Obezbediti potrebna obaveštenja o privatnosti.
3. Prikupljati samo podatke koji su neophodni za zakonite svrhe.
4. Odrediti odgovarajuće rokove čuvanja.
5. Omogućiti ostvarivanje prava lica čiji se podaci obrađuju.
6. Obezbediti odgovarajuća ovlašćenja zaposlenih koji pristupaju podacima.
7. Bez nepotrebnog odlaganja obavestiti NA VREME o uočenoj zloupotrebi svog naloga ili bezbednosnom incidentu koji može uticati na podatke u aplikaciji.

Poslovni korisnik ne sme izdavati uputstva koja bi dovela do nezakonite obrade podataka.

7. Obaveze NA VREME

NA VREME se obavezuje da će:

1. Obrađivati podatke samo na osnovu dokumentovanih uputstava Poslovnog korisnika, osim kada zakon zahteva drugačije.
2. Obezbediti da lica ovlašćena za obradu budu obavezana na čuvanje poverljivosti.
3. Primenjivati odgovarajuće tehničke, organizacione i kadrovske mere zaštite.
4. Poštovati pravila o angažovanju drugih obrađivača.
5. Pomagati Poslovnom korisniku u ispunjavanju obaveza prema licima čiji se podaci obrađuju.
6. Pružati potrebnu pomoć u vezi sa bezbednošću obrade, povredama podataka, procenom uticaja na zaštitu podataka i prethodnim konsultacijama sa nadležnim organom, kada su primenljive.
7. Po završetku ugovornog odnosa vratiti ili izbrisati podatke, prema izboru Poslovnog korisnika i u skladu sa zakonom.
8. Učiniti dostupnim informacije potrebne za dokazivanje ispunjenosti svojih ugovornih obaveza i omogućiti odgovarajuću kontrolu.

8. Mere bezbednosti

NA VREME primenjuje odgovarajuće mere zaštite, imajući u vidu prirodu obrade, dostupnu tehnologiju, troškove sprovođenja i rizike po prava i slobode fizičkih lica.

Te mere obuhvataju odgovarajuću zaštitu komunikacije, autentifikaciju korisnika, upravljanje pristupnim pravima, odvajanje podataka različitih poslovnih korisnika, zaštitu serverske infrastrukture, bezbednosno održavanje, kontrolu pristupa i odgovarajuće postupke oporavka podataka.

Pristup podacima dozvoljen je samo ovlašćenim licima i sistemima, u meri potrebnoj za izvršavanje njihovih zadataka.

NA VREME periodično proverava primerenost zaštitnih mera i ažurira ih kada je potrebno.

9. Podobrađivači

Poslovni korisnik daje opšte pisano ovlašćenje NA VREME da koristi odgovarajuće podobrađivače neophodne za pružanje ugovorenih usluga.

Početni podobrađivači navedeni su u Prilogu 2 ovog ugovora.

NA VREME će, po pravilu najmanje 15 dana unapred, obavestiti Poslovnog korisnika o nameravanom dodavanju ili zameni podobrađivača, uz omogućavanje podnošenja obrazloženog prigovora pre početka nove obrade.

U slučaju hitne bezbednosne promene, obaveštenje može biti poslato u kraćem roku, čim to okolnosti dozvole.

NA VREME zaključuje odgovarajući ugovor sa svakim podobrađivačem i obezbeđuje obaveze zaštite podataka koje odgovaraju njegovim ugovornim i zakonskim obavezama.

Za izvršavanje obaveza podobrađivača prema Poslovnom korisniku, NA VREME odgovara u skladu sa zakonom.

Ukoliko prigovor Poslovnog korisnika na novog podobrađivača ne može biti razrešen, a njegova obrada je neophodna za pružanje usluge, Poslovni korisnik može prekinuti korišćenje zahvaćenih funkcionalnosti ili raskinuti ugovor.

10. Prenos podataka u druge države

Poslovni korisnik ovlašćuje NA VREME da izvrši međunarodni prenos podataka koji je potreban za korišćenje odobrenih podobrađivača, pod uslovom da su prethodno ispunjeni svi zahtevi primenjivih propisa o zaštiti podataka o ličnosti.

NA VREME obezbeđuje odgovarajući pravni osnov za međunarodni prenos i potrebne mere zaštite.

Informacije o državama obrade, angažovanim podobrađivačima i odgovarajućim garancijama dostupne su Poslovnom korisniku na njegov zahtev.

Ako određeni prenos više ne ispunjava zakonske uslove, NA VREME će preduzeti neophodne korektivne mere i po potrebi obustaviti odgovarajuću obradu.

11. Zahtevi klijenata i ostvarivanje prava

Ako NA VREME neposredno primi zahtev klijenta koji se odnosi na podatke obrađivane u ime Poslovnog korisnika, bez nepotrebnog odlaganja proslediće zahtev odgovarajućem Poslovnom korisniku ili uputiti podnosioca odgovarajućem rukovaocu.

NA VREME neće samostalno donositi odluke o zakonitosti i obimu ostvarivanja prava iz nadležnosti Poslovnog korisnika, osim kada je to neophodno na osnovu zakona.

Uzimajući u obzir prirodu obrade, NA VREME pruža Poslovnom korisniku odgovarajuću pomoć u postupanju po zahtevima za pristup, ispravku, brisanje, ograničenje obrade i ostvarivanje drugih zakonom predviđenih prava.

12. Povrede bezbednosti podataka

U slučaju saznanja o povredi bezbednosti podataka koji se obrađuju u ime Poslovnog korisnika, NA VREME će ga obavestiti bez nepotrebnog odlaganja.

Obaveštenje će, prema trenutno dostupnim informacijama, obuhvatiti prirodu incidenta, kategorije pogođenih podataka i lica, moguće posledice i preduzete ili predložene mere.

Ako sve informacije nisu odmah dostupne, dostavljaće se naknadno, bez nepotrebnog odlaganja.

NA VREME sarađuje sa Poslovnim korisnikom radi otklanjanja incidenta, ublažavanja posledica i ispunjavanja odgovarajućih zakonskih obaveza.

Poslovni korisnik, kao rukovalac, donosi odluke o prijavljivanju povrede nadležnom organu i obaveštavanju pogođenih lica kada je to njegova zakonska obaveza.

13. Rokovi čuvanja i brisanje

NA VREME čuva podatke Poslovnog korisnika tokom ugovorenog perioda i u skladu sa zakonitim uputstvima Poslovnog korisnika.

Podaci o rezervacijama i klijentima čuvaju se dok ih Poslovni korisnik ne izbriše ili do prestanka ugovora. Poslovni korisnik u svakom trenutku može kroz administratorski panel izbrisati lične podatke pojedinačnog klijenta.

Fotografije priložene uz zahtev za termin automatski se brišu 90 dana nakon što je zahtev zatvoren.

Poslovni korisnik ima pravo da zahteva brisanje podataka kada za njihovu dalju obradu ne postoji odgovarajući zakonit osnov.

Nakon prestanka ugovora, NA VREME omogućava Poslovnom korisniku da izabere vraćanje ili brisanje podataka.

Ako korisnik zahteva vraćanje podataka, njihov izvoz omogućava se u CSV formatu, putem funkcije izvoza u administratorskom panelu ili na zahtev, u odgovarajućem roku.

Podaci se uklanjaju iz aktivnog sistema u roku od 30 dana od prijema valjanog zahteva za brisanje ili od isteka ugovorenog perioda za preuzimanje podataka.

Rezervne kopije uklanjaju se prema odgovarajućem ciklusu, najkasnije u roku od 90 dana, osim kada zakonom propisana obaveza zahteva njihovo duže čuvanje.

Do konačnog brisanja preostali podaci ostaju zaštićeni i ne koriste se za nove svrhe.

14. Kontrola i revizija

NA VREME stavlja Poslovnom korisniku na raspolaganje informacije potrebne za dokazivanje usklađenosti obrade sa ovim ugovorom i zakonom.

Poslovni korisnik može zahtevati razumnu proveru odgovarajućih mera zaštite, uključujući proveru koju obavlja ovlašćeno nezavisno lice.

Kontrola se organizuje uz odgovarajuće prethodno obaveštenje, zaštitu poverljivih informacija, bezbednosti sistema i podataka drugih poslovnih korisnika.

Ova pravila ne ograničavaju zakonska ovlašćenja nadležnih organa niti obavezu NA VREME da pruži informacije potrebne za dokazivanje zakonitosti obrade.

15. Odgovornost

Svaka ugovorna strana odgovorna je za ispunjavanje sopstvenih zakonskih i ugovornih obaveza.

Poslovni korisnik odgovara za zakonitost svrha i osnova obrade koje samostalno određuje.

NA VREME odgovara za zakonito izvršavanje obrade koja mu je poverena i za poštovanje obaveza koje ima u svojstvu obrađivača.

Ovaj ugovor ne isključuje niti ograničava odgovornost u slučajevima u kojima takvo ograničenje nije dozvoljeno zakonom.

16. Prestanak ugovora

Ovaj ugovor primenjuje se od trenutka njegovog prihvatanja i traje dok NA VREME obrađuje podatke u ime Poslovnog korisnika.

Prestankom korišćenja platforme primenjuju se odredbe o vraćanju i brisanju podataka, poverljivosti i drugim obavezama koje po svojoj prirodi ostaju na snazi.

Izmene ovog ugovora saopštavaju se Poslovnim korisnicima unapred, uz poštovanje zakonskih zahteva za njihovu primenu.

17. Merodavno pravo

Na ovaj ugovor primenjuje se pravo Republike Srbije.

Eventualni sporovi rešavaju se sporazumno, a ukoliko to nije moguće, pred nadležnim sudom određenim u skladu sa zakonom.

Prilog 1 — Opis obrade

• Predmet obrade: Podaci o klijentima, zaposlenima i rezervacijama poslovnih korisnika.
• Priroda obrade: Automatizovana i druga obrada potrebna za organizaciju rezervacija i upravljanje poslovanjem.
• Svrha: Pružanje ugovorenih funkcionalnosti platforme NA VREME.
• Kategorije lica: Klijenti, zaposleni, saradnici i ovlašćeni predstavnici poslovnih korisnika.
• Vrste podataka: Ime, prezime, email, opcioni telefon, informacije o terminima, pruženim uslugama, radnom rasporedu, kod zahteva za termin i adresa pružanja usluge, odgovori na pitanja i priložene fotografije, i druge neophodne organizacione informacije.
• Trajanje: Tokom ugovornog odnosa i odgovarajućeg perioda za zakonito vraćanje ili brisanje podataka.
• Posebne vrste podataka: Nisu predviđene za obradu kroz generički sistem.

Prilog 2 — Odobreni podobrađivači

1. Vercel Inc.

• Uloga: Hosting i infrastruktura aplikacije.
• Država: Sjedinjene Američke Države; druge lokacije obrade zavise od stvarne konfiguracije i angažovanih podobrađivača.
• Dokumentacija: https://vercel.com/legal/dpa

2. Plus Five Five, Inc. — Resend

• Uloga: Slanje i obrada email obaveštenja.
• Država: Sjedinjene Američke Države.
• Dokumentacija: https://resend.com/legal/dpa

3. Neon, Inc.

• Naziv: Neon, Inc. (Sjedinjene Američke Države)
• Uloga: Skladištenje podataka poslovnih korisnika, klijenata i rezervacija.
• Država i region obrade: Evropska unija — Frankfurt, Savezna Republika Nemačka (AWS eu-central-1)
• Dokumentacija: https://neon.com/dpa

Potvrda prihvatanja

Prihvatanjem ovog ugovora ovlašćeni predstavnik Poslovnog korisnika potvrđuje da je upoznat sa njegovim sadržajem i daje navedena ovlašćenja za obradu podataka u ime Poslovnog korisnika.

NA VREME evidentira prihvaćenu verziju ugovora i vreme prihvatanja.