Ugovor o obradi podataka (DPA)

Ovaj Ugovor o obradi podataka (DPA) uređuje obradu osobnih podataka u skladu s člankom 28. Opće uredbe o zaštiti podataka (GDPR) između voditelja obrade (Kupac / Tenant) i izvršitelja obrade Buzzlo d.o.o. u vezi s pružanjem usluge cvik.ai.

Predmet i trajanje

Buzzlo d.o.o. („Izvršitelj obrade“) obrađuje osobne podatke u ime i po uputi Kupca („Voditelj obrade“ / Tenant) isključivo u svrhu pružanja usluge cvik.ai — operativnog HR sustava koji obuhvaća smjene, prisutnost, dopuste i obračun radnog vremena.

Trajanje obrade podataka odgovara trajanju pretplate na uslugu i aktivnom korištenju sustava od strane Tenanta. Obrada prestaje po raskidu ugovora, uz odredbe o povratu i brisanju podataka navedene u ovom dokumentu.

Kategorije podataka

U okviru pružanja usluge cvik.ai Izvršitelj obrade može obrađivati sljedeće kategorije osobnih podataka zaposlenika i studenata Tenanta:

• identifikacijski i kontakt podaci (ime, prezime, e-mail, telefon)
• OIB i ostali identifikacijski brojevi potrebni za poslovne procese
• evidencija prisutnosti i radnog vremena (punch zapisi, smjene, pauze)
• zahtjevi za dopust i podaci o odsutnostima
• doznake za bolovanje obrađene na web platformi (npr. HZZO doznake, certifikati)
• fotografije za verifikaciju identiteta (selfie) pri evidenciji prisutnosti
• podaci o geolokaciji u svrhu geofence provjere (kad je funkcionalnost aktivna)
• identifikatori uređaja (npr. kiosk terminali, mobilni uređaji)
• podaci o ulogama, ovlastima i organizacijskoj pripadnosti unutar Tenanta

Kategorije ispitanika

Osobni podaci odnose se na zaposlenike i studente organizacije Tenanta (Voditelja obrade), kao i na ovlaštene korisnike Tenanta koji administriraju sustav (npr. HR administratore, voditelje, nadređene).

Obaveze izvršitelja obrade

Izvršitelj obrade obvezuje se:

• obrađivati osobne podatke isključivo na temelju dokumentiranih uputa Voditelja obrade, uključujući upute sadržane u ugovoru o usluzi, ovom DPA-u te u postavkama sustava koje Tenant konfigurira

• osigurati da su osobe ovlaštene za obradu podataka obvezane na povjerljivost ili da su pod odgovarajućom zakonskom obvezom povjerljivosti

• primijeniti odgovarajuće tehničke i organizacijske mjere zaštite u skladu s člankom 32. GDPR-a (vidi odjeljak „Sigurnosne mjere“)

• pomoći Voditelju obrade u ispunjavanju zahtjeva ispitanika (pristup, ispravak, brisanje, ograničenje, prenosivost, prigovor) uzimajući u obzir prirodu obrade

• po prestanku pružanja usluga, prema odluci Voditelja obrade, izbrisati ili vratiti sve osobne podatke, osim ako zakon zahtijeva daljnje pohranjivanje

• učiniti dostupnim informacije potrebne za dokazivanje usklađenosti s ovim obvezama te omogućiti i doprinijeti auditima koje provodi Voditelj obrade ili ovlašteni revizor, uz razumna ograničenja u pogledu poslovne tajne i sigurnosti

Podizvršitelji obrade

Voditelj obrade daje opće pisano odobrenje Izvršitelju obrade za angažiranje sljedećih podizvršitelja obrade. Svaki podizvršitelj obrađuje podatke isključivo u opsegu potrebnom za pružanje usluge i na temelju ugovornih obveza zaštite podataka:

Ostale komponente sustava (autentifikacija korisnika, generiranje PDF dokumenata, nadzor grešaka i tehničkih incidenata) Izvršitelj obrade pokreće na vlastitoj infrastrukturi unutar Europske unije. Ove komponente ne predstavljaju vanjske podizvršitelje obrade jer se podaci ne prenose trećim stranama.

Izvršitelj obrade obavijestit će Voditelja obrade najmanje 30 dana unaprijed o namjeri angažiranja novog podizvršitelja obrade ili zamjene postojećeg. Voditelj obrade ima pravo prigovora u razumnom roku. Ako Voditelj obrade prigovori i Izvršitelj obrade ne može pružiti razumnu alternativu, Voditelj obrade ima pravo raskinuti ugovor o usluzi.

Sigurnosne mjere

Izvršitelj obrade primjenjuje sljedeće tehničke i organizacijske mjere zaštite:

• šifriranje podataka u prijenosu (TLS) i u mirovanju (AES-256)
• kontrola pristupa temeljena na ulogama i ovlastima (RBAC)
• stroga izolacija podataka između Tenanta (multi-tenant arhitektura)
• redovite sigurnosne kopije i plan oporavka
• procedura odgovora na sigurnosne incidente
• revizijski zapisnici (audit log) za kritične operacije u sustavu

Pomoć voditelju obrade

Izvršitelj obrade pruža Voditelju obrade razumnu pomoć u:

• provođenju procjena utjecaja na zaštitu podataka (DPIA), kada je primjenjivo
• ispunjavanju obveza obavještavanja o povredi podataka
• ostvarivanju prava ispitanika na zahtjev Voditelja obrade

Povreda podataka

U slučaju povrede osobnih podataka, Izvršitelj obrade obavijestit će Voditelja obrade bez nepotrebnog odgađanja, a najkasnije u roku od 48 sati od saznanja za povredu. Obavijest će, u mjeri u kojoj su informacije dostupne, sadržavati:

• opis prirode povrede podataka
• kategorije i približan broj ispitanika i zapisa podataka na koje se odnosi
• vjerojatne posljedice povrede
• mjere koje su poduzete ili se predlažu kako bi se ublažio štetni učinak

Povrat i brisanje

Po prestanku ugovora o usluzi, Tenant ima rok od 30 dana za izvoz svojih podataka putem funkcionalnosti sustava ili na pisani zahtjev. Nakon isteka tog roka, Izvršitelj obrade sigurno će izbrisati sve osobne podatke Tenanta, osim ako zakon zahtijeva njihovo zadržavanje (npr. računovodstvene ili porezne obveze).

Nepromjenjivi audit zapisi i evidencije koje zakon zahtijeva čuvati mogu se zadržati u anonimiziranom ili ograničenom obliku isključivo u opsegu propisanom zakonom.

Međunarodni prijenos podataka

Izvršitelj obrade ne prenosi osobne podatke u treće zemlje izvan EU/EGP bez prethodnog pisanog odobrenja Voditelja obrade, osim ako je prijenos nužan za pružanje usluge putem odobrenih podizvršitelja obrade navedenih u ovom dokumentu.

Za prijenose u treće zemlje bez odluke o primjerenosti, Izvršitelj obrade osigurava primjenu standardnih ugovornih klauzula (SCC) u skladu s Provedbenom odlukom Komisije (EU) 2021/914 ili drugog odgovarajućeg mehanizma prijenosa predviđenog GDPR-om.

Mjerodavno pravo

Na ovaj Ugovor o obradi podataka primjenjuje se pravo Republike Hrvatske. Za rješavanje sporova nadležan je stvarno nadležni sud u Zagrebu, osim ako imperativne odredbe primjenjivog prava ne propisuju drukčije.

Kontakt

Za pitanja u vezi s ovim Ugovorom o obradi podataka i zaštitom osobnih podataka:

• Zaštita osobnih podataka: contact@buzzlo.ai

• Opća podrška: hello@buzzlo.ai

Izvršitelj obrade: Buzzlo d.o.o. za usluge, Zagrebačka cesta 126, 10000 Zagreb, OIB: 62127636877, MBS: 081532265