Ugovor o obradi podataka

Ovaj Ugovor o obradi podataka („DPA”) dio je Uvjeti korištenja usluge između Passport Digital Limited („mi”, izvršitelj obrade) i korisnika („vi”, voditelj obrade). Primjenjuje se kad god obrađujemo osobne podatke u vaše ime pri pružanju usluge MyProductPassport i ispunjava članak 28. UK GDPR-a i, gdje se primjenjuje, EU GDPR-a. Ako partner upravlja vašim radnim prostorom i ima vaš ugovor, mi smo podizvršitelj obrade tog partnera pod istim uvjetima.

1. Pojedinosti obrade

• Predmet i trajanje: pružanje usluge MyProductPassport vama, dok traje ugovor i dok se podaci ne izbrišu kako je opisano u nastavku.
• Priroda i svrha: hosting, pohrana, objava, prevođenje i prikaz vaših podataka o proizvodima i putovnica; izrada statistike pregleda putovnica; podrška; i sigurnosne kopije.
• Ako ih koristite, također: traženje informacija od dobavljača koje odaberete, vođenje potpisane povijesti svake objavljene putovnice i prijavljivanje vašeg tima putem vašeg pružatelja identiteta.
• Obuhvaćene osobe: vaše osoblje i članovi tima; osobe navedene u vašim podacima o proizvodima i dokumentima; te osobe koje pregledavaju vaše objavljene putovnice.
• Vrste osobnih podataka: imena, poslovni kontaktni podaci i radna mjesta; svi osobni podaci koje uključite u podatke o proizvodima ili dokumente; te, za posjetitelje putovnica, država, vrsta uređaja, preglednik, operativni sustav, stranica s koje dolaze i kodirani identifikator posjetitelja (nikada IP adresa).
• Kada uključite postprodaju: registracija vlasnika vaših proizvoda i vođenje podataka o njihovu jamstvu, prijenos servisnih zahtjeva, vaših odgovora i fotografija kupaca između vas i njih, predaja proizvoda od strane vlasnika i provjera autentičnosti artikla.
• Obuhvaćene osobe, kada koristite postprodaju: osobe koje registriraju neki od vaših proizvoda, šalju vam servisni zahtjev, primaju proizvod od njegova vlasnika ili provjeravaju autentičnost artikla.
• Vrste osobnih podataka o njima: ime i adresa e-pošte; ono što odluče dodati, primjerice broj telefona, država, datum i mjesto kupnje, serijski broj, poruke i fotografije; jesu li pristali primati vaše vijesti, s točnim tekstom koji su vidjeli; te pri provjeri autentičnosti država i kodirani identifikator posjetitelja (nikada IP adresa).
• Ako tražite informacije od dobavljača: kontaktne osobe vaših dobavljača (ime, adresa e-pošte i tvrtka) te odgovori i datoteke koje pošalju. Ako koristite jedinstvenu prijavu: ime i adresa e-pošte koje vaš pružatelj identiteta šalje za svaku osobu. Potpisana povijest putovnice čuva svaku objavljenu verziju onakvu kakva je bila, uključujući ranije vrijednosti polja. Briše se zajedno s vašim radnim prostorom, a ranije verzije uklonit ćemo po vašoj uputi ako iz njih treba izbrisati osobne podatke.

Usluga nije namijenjena posebnim kategorijama podataka (poput podataka o zdravlju). Molimo ne učitavajte ih.

Vi odlučujete što se priopćuje vašim kupcima. Vaša obavijest o privatnosti povezana je u svakom obrascu i e-poruci postprodaje, a te funkcije ostaju isključene dok je ne dodate. E-poruke vašim kupcima šalju se u vaše ime, s vašom adresom za odgovor, preko našeg pružatelja usluge slanja.

2. Naše obveze

Obvezujemo se:

• obrađivati osobne podatke samo prema vašim dokumentiranim uputama, a to su ovi uvjeti i vaše korištenje usluge, osim ako zakon ne zahtijeva drukčije, u kojem ćemo vas slučaju o tome najprije obavijestiti, osim ako zakon to zabranjuje;
• obavijestiti vas ako smatramo da uputa krši propise o zaštiti podataka;
• osigurati da svatko koga ovlastimo za obradu podataka bude obvezan na povjerljivost;
• primjenjivati sigurnosne mjere opisane u nastavku;
• koristiti podizvršitelje obrade samo kako je navedeno u nastavku;
• pomoći vam da odgovorite na zahtjeve pojedinaca koji ostvaruju svoja prava;
• pomoći vam u ispunjavanju obveza u vezi sa sigurnošću, obavješćivanjem o povredama, procjenama učinka na zaštitu podataka i prethodnim savjetovanjem, uzimajući u obzir informacije koje su nam dostupne;
• izbrisati ili vratiti osobne podatke po isteku ugovora, kako je opisano u nastavku;
• staviti na raspolaganje informacije potrebne za dokazivanje ispunjavanja tih obveza i omogućiti revizije kako je opisano u nastavku.

3. Podizvršitelji obrade

Ovlašćujete nas da koristimo ove podizvršitelje obrade:

• DigitalOcean putem Cloudwaysa: hosting, baze podataka i sigurnosne kopije (London, Ujedinjena Kraljevina).
• Cloudflare: mreža, sigurnost i isporuka sadržaja (globalna mreža).
• Brevo (Sendinblue SAS): slanje servisnih e-poruka vama i vašem timu te, kada koristite postprodaju, vašim kupcima (Francuska).
• OpenAI: automatski prijevod teksta objavljenih putovnica i čitanje dokumenata koje odlučite uvesti u putovnicu (Sjedinjene Američke Države).
• Sentry (Functional Software, Inc.): praćenje pogrešaka (Njemačka, podatkovna regija EU-a).
• Microsoft (Microsoft 365): e-pošta za korespondenciju podrške.

Svakom podizvršitelju obrade nalažemo obveze zaštite podataka koje nisu manje zaštitne od ovog DPA-a i ostajemo vam odgovorni za njihov rad. O novom podizvršitelju obrade obavijestit ćemo vas e-poštom ili u aplikaciji najmanje 30 dana prije nego što počne. Možete uložiti prigovor iz opravdanih razloga zaštite podataka; ako prigovor ne možemo riješiti, možete prekinuti pogođenu uslugu i vratit ćemo naknade plaćene za razdoblje nakon njezina prestanka.

4. Međunarodni prijenosi

Vaši podaci hostiraju se u Ujedinjenoj Kraljevini, za koju Europska komisija priznaje da pruža odgovarajuću zaštitu. Ako podizvršitelj obrade obrađuje osobne podatke u zemlji bez odluke o primjerenosti, oslanjamo se na standardne ugovorne klauzule Europske komisije zajedno s UK International Data Transfer Addendumom ili na certifikaciju podizvršitelja u okviru EU-US Data Privacy Frameworka i njegova proširenja za UK.

5. Zahtjevi pojedinaca

Usluga vam omogućuje da sami pregledavate, ispravljate, izvozite i brišete podatke. Ako nas netko kontaktira u vezi s osobnim podacima koje vi kontrolirate, proslijedit ćemo vam zahtjev bez nepotrebnog odgađanja i nećemo sami odgovarati osim ako to ne zatražite.

Vlasnici registriranih proizvoda mogu se i sami odjaviti od vaših marketinških e-poruka i izbrisati svoju registraciju sa svoje stranice vlasnika.

6. Sigurnosne mjere

• Šifriranje u prijenosu: TLS na svakoj vezi, uz HTTP Strict Transport Security.
• Šifriranje u mirovanju: matični broj tvrtke, PDV broj i telefonski broj pohranjeni na korisničkim računima šifriraju se u aplikaciji; lozinke se pohranjuju samo kao jednosmjerni sažeci.
• Pristup: pristup temeljen na ulogama u radnim prostorima (vlasnik, administrator, urednik, promatrač), neobavezna dvofaktorska autentifikacija i ograničen broj pokušaja prijave. Pristup produkcijskim poslužiteljima ograničen je na imenovane administratore.
• Zapisivanje: važne radnje bilježe se s korisnikom, vremenom i IP adresom te se čuvaju 90 dana.
• Posjetitelji putovnica: IP adrese nikad se ne pohranjuju; samo kodirani identifikator izrađen tajnim ključem.
• Postprodaja: skriveni kodovi artikala, ključevi zaštićenih oznaka i privatne poveznice u e-porukama vašim kupcima šifriraju se u aplikaciji; fotografije koje kupci šalju pohranjuju se privatno i prikazuju samo vašem timu i kupcu koji ih je poslao.
• Otpornost: dnevne sigurnosne kopije baze podataka i Cloudflare zaštita od napada uskraćivanjem usluge.
• Sigurnost aplikacije: stroga politika sigurnosti sadržaja (CSP) s prijavom kršenja.

7. Povrede osobnih podataka

Ako saznamo za povredu osobnih podataka koja utječe na vaše podatke, mi ćemo:

• obavijestiti vas bez nepotrebnog odgađanja, a u svakom slučaju u roku od 48 sati, e-poštom vlasniku vašeg radnog prostora;
• dati vam informacije potrebne za obavještavanje Information Commissioner’s Officea ili vašeg nadzornog tijela u roku od 72 sata i ažurirati ih kako saznajemo više;
• surađivati s vama u istrazi i ograničavanju povrede te zabilježiti što se dogodilo i što smo poduzeli.

Sumnju na sigurnosni problem možete nam prijaviti na [email protected].

8. Revizije

Odgovorit ćemo na razumna pisana pitanja o našoj usklađenosti s ovim DPA-om. Ako to nije dovoljno, možete o vlastitom trošku provesti reviziju:

• uz pisanu obavijest najmanje 30 dana unaprijed;
• tijekom uobičajenog radnog vremena;
• od strane revizora obvezanih na povjerljivost;
• najviše jednom godišnje, osim ako povreda ili regulator zahtijeva dodatnu.

9. Vraćanje i brisanje podataka

Svoje podatke možete izvesti u bilo kojem trenutku i zatražiti potpuni izvoz kad ugovor prestane (vidi „Prelazak na drugog pružatelja” u našim Uvjeti korištenja usluge). Kad izbrišete račun, osobni podaci u njemu odmah se brišu. Ako ugovor prestane na drugi način, podatke brišemo 30 dana nakon prestanka. Kopije u sigurnosnim kopijama prepisuju se u roku od 60 dana nakon toga. Zadržavamo samo ono što zakon zahtijeva, poput računa, i na zahtjev pisano potvrđujemo brisanje.

Od 26. listopada 2026. putovnice baterija ostaju dostupne nakon brisanja računa, kako je opisano u Uvjetima korištenja usluge (Uredba (EU) 2023/1542, članak 78. točka (e)).

Podaci postprodaje: registracija koju nitko ne potvrdi briše se nakon 30 dana, a podaci pozvanog novog vlasnika čim je prijenos prihvaćen, otkazan ili istekne. Vlasnici mogu sami izbrisati svoju registraciju sa svoje stranice vlasnika, a vi na nadzornoj ploči možete ukloniti registraciju ili izbrisati servisni zahtjev. Inače se ti podaci brišu zajedno s vašim radnim prostorom.

10. Mjerodavno pravo

Na ovaj DPA primjenjuje se pravo Engleske i Walesa, kao i na naše Uvjete korištenja usluge. Ako EU GDPR zahtijeva da se na njega primjenjuje pravo države članice EU-a, primjenjuje se irsko pravo i nadležni su sudovi Irske. Ako je ovaj DPA u sukobu s Uvjetima korištenja usluge, u pogledu obrade osobnih podataka prednost ima ovaj DPA.

Pitanja o ovom ugovoru o obradi podataka: [email protected].