Pogodba o obdelavi.

Ta pogodba ureja obdelavo osebnih podatkov, ki jo obdelovalec izvaja za upravljavca pri zagotavljanju rezervacijskega sistema Termina.

Ta pogodba je sestavni del naročniške pogodbe (splošni pogoji uporabe storitve Termina). Za vprašanja obdelave osebnih podatkov ima ta pogodba prednost pred splošnimi pogoji.

Kadar ima naročnik pri obdelovalcu sklenjene tudi druge storitve, se obdelava osebnih podatkov pri njih uredi z ločeno pogodbo. Ta pogodba velja izključno za Termino.

Upravljavec je naročnik. On določa namene in sredstva obdelave podatkov svojih gostov in svojega osebja. Obdelovalec te podatke obdeluje izključno zanj.

Za podatke, pri katerih je upravljavec obdelovalec sam – podatki računa naročnika, plačilni podatki, komunikacija s podporo – ta pogodba ne velja. Te ureja politika zasebnosti na /zasebnost.

Predmet, trajanje, narava in namen obdelave, vrste osebnih podatkov in kategorije posameznikov so opredeljeni v Prilogi A.

Obdelava traja ves čas trajanja naročniške pogodbe. Po njenem prenehanju ravna obdelovalec po točki 10.

Upravljavec zagotavlja, da ima za obdelavo, ki jo naroča, veljavno pravno podlago, in da je svoje goste obvestil o obdelavi njihovih osebnih podatkov skladno s 13. in 14. členom Uredbe.

Upravljavec zagotavlja, da so njegova navodila zakonita.

Podatki iz 9. člena Uredbe. Storitev ni namenjena zbiranju posebnih vrst osebnih podatkov in jih po zasnovi ne zahteva. Če upravljavec take podatke v storitev vnaša ali dopušča njihov vnos, zagotavlja zanje veljavno pravno podlago in ustrezne ukrepe.

Obdelovalec upravljavcu zagotovi vzorčna besedila za obveščanje gostov. Ta so informativna, ne nadomeščajo pravnega nasveta in obdelovalec zanje ne prevzema odgovornosti.

Obdelovalec osebne podatke obdeluje izključno po dokumentiranih navodilih upravljavca, ki so opredeljena v Prilogi A, razen kadar obdelavo zahteva pravo Unije ali pravo države članice – v tem primeru upravljavca o tem obvesti pred obdelavo, razen če to isto pravo prepoveduje.

Uporaba funkcij storitve, kot so nastavljene v nadzorni plošči, se šteje za navodilo upravljavca.

Obdelovalec upravljavca obvesti, če po njegovem mnenju navodilo krši Uredbo ali druge predpise o varstvu podatkov. Do razjasnitve lahko izvedbo navodila zadrži.

Obdelovalec osebnih podatkov ne uporablja za lastne namene, jih ne prodaja in jih ne uporablja za trženje. Za razvoj in odpravo napak uporablja testne podatke, ne podatkov naročnikov. Izjema so posnetki uporabe nadzorne plošče, na katerih so vsa besedila in vnosi skriti, in to samo, če je uporabnik v to sam privolil.

Do osebnih podatkov dostopajo samo osebe, ki jih potrebujejo za izvajanje pogodbe.

Te osebe so zavezane k zaupnosti – pogodbeno ali z zakonsko obveznostjo zaupnosti. Obveznost velja tudi po prenehanju sodelovanja.

Obdelovalec izvaja tehnične in organizacijske ukrepe iz 32. člena Uredbe, opisane v Prilogi C.

Ukrepe lahko obdelovalec posodablja; raven varnosti se s posodobitvijo ne sme znižati.

Upravljavec obdelovalcu daje splošno pisno odobritev za vključitev podobdelovalcev.

Seznam podobdelovalcev, z navedbo sedeža družbe, vrste podatkov, ki jih prejme, in kraja obdelave, je objavljen na termina.pyramida.world/pravno/podobdelovalci in tvori Prilogo B te pogodbe. Na isti strani je objavljen tudi dnevnik sprememb seznama.

O zamenjavi ali dodatnem podobdelovalcu obdelovalec upravljavca obvesti vnaprej, po elektronski pošti na e-naslov računa, praviloma najmanj 30 dni pred spremembo.

Kadar sprememba ni odvisna od obdelovalca – zlasti kadar jo podobdelovalec vsili sam, kadar je nujna zaradi varnosti storitve ali kadar bi 30-dnevni rok pomenil prekinitev delovanja – obdelovalec obvesti takoj, ko je mogoče, in v obvestilu navede razlog za krajši rok. Pravica upravljavca do ugovora iz točke 7.4 v takem primeru velja enako.

Upravljavec lahko spremembi v tem roku iz utemeljenih razlogov, povezanih z varstvom osebnih podatkov, pisno ugovarja. Če stranki ne najdeta rešitve, lahko upravljavec naročniško pogodbo odpove brez odpovednega roka, z učinkom na dan uveljavitve spremembe; plačana naročnina za neizkoriščene cele mesece se vrne sorazmerno.

Obdelovalec s podobdelovalcem sklene pogodbo, ki mu nalaga enakovredne obveznosti varstva podatkov. Za izpolnjevanje obveznosti podobdelovalca odgovarja obdelovalec upravljavcu v celoti.

Obdelovalec upravljavcu z ustreznimi tehničnimi in organizacijskimi ukrepi pomaga pri izpolnjevanju zahtev posameznikov iz III. poglavja Uredbe.

V nadzorni plošči upravljavec sam pregleda in popravi podatke gostov ter izvozi seznam gostov in rezervacij v strojno berljivi obliki (CSV).

Za izbris in za izvoz vseh podatkov upravljavca – torej tudi tistih, ki jih izvoz iz nadzorne plošče ne zajame – upravljavec pošlje pisno zahtevo na info@pyramida.world. Obdelovalec jo izvede brez nepotrebnega odlašanja, najpozneje v petih delovnih dneh, in izvedbo pisno potrdi.

Če se posameznik obrne neposredno na obdelovalca, ta zahteve ne rešuje sam. Zahtevo brez odlašanja, najpozneje v petih delovnih dneh, posreduje upravljavcu in posameznika o tem obvesti.

Pomoč, ki presega funkcije storitve in zahteva sorazmeren dodaten napor, lahko obdelovalec obračuna po dogovoru; o tem upravljavca obvesti vnaprej.

Obdelovalec upravljavcu pomaga pri izpolnjevanju obveznosti iz 32. do 36. člena Uredbe, ob upoštevanju narave obdelave in podatkov, ki jih ima na voljo.

Kršitev varnosti osebnih podatkov obdelovalec upravljavcu sporoči brez nepotrebnega odlašanja, najpozneje v 24 urah po tem, ko zanjo izve.

Obvestilo vsebuje, kolikor je znano: opis kršitve, kategorije in približno število prizadetih posameznikov in zapisov, verjetne posledice ter sprejete ali predlagane ukrepe. Kar ob prvem obvestilu ni znano, obdelovalec sporoči naknadno, brez odlašanja.

Prijave nadzornemu organu in obveščanja posameznikov v imenu upravljavca obdelovalec ne opravi – to je obveznost upravljavca. Obdelovalec mu pri tem pomaga s podatki, ki jih ima.

Obdelovalec vodi evidenco kršitev, ki se nanašajo na podatke upravljavca, in mu jo na zahtevo predloži.

Po prenehanju naročniške pogodbe obdelovalec osebne podatke izvozi upravljavcu v strojno berljivi obliki, nato pa jih v 30 dneh izbriše, skupaj z obstoječimi kopijami. Izbris pisno potrdi.

Izjema velja le, kadar hrambo zahteva pravo Unije ali pravo države članice. V tem primeru obdelovalec upravljavca obvesti, kateri podatki so zadržani, na kateri podlagi in za koliko časa, ter jih ne obdeluje za noben drug namen.

Varnostne kopije se izbrišejo po rednem ciklu hrambe kopij, opisanem v Prilogi C. Do izbrisa ostanejo zaščitene z ukrepi iz iste priloge in se ne obnavljajo v produkcijo, razen ob okrevanju po incidentu.

Obdelovalec upravljavcu da na voljo vse informacije, potrebne za dokazovanje izpolnjevanja obveznosti iz 28. člena Uredbe.

Obdelovalec odgovori na pisna vprašanja upravljavca o obdelavi in mu predloži razpoložljiva potrdila in poročila svojih podobdelovalcev. Praviloma se izpolnjevanje dokazuje na ta način.

Če to ne zadošča, upravljavec lahko izvede revizijo pri obdelovalcu enkrat letno, ob najmanj 30-dnevnem predhodnem pisnem obvestilu, v delovnem času in tako, da ne ovira poslovanja. Revizor mora biti zavezan k zaupnosti in ne sme biti konkurent obdelovalca.

Stroške revizije nosi upravljavec, razen če revizija pokaže bistveno kršitev te pogodbe. Dodatne revizije in revizije zaradi utemeljenega suma kršitve so mogoče tudi zunaj roka iz točke 11.3.

Revizija ne sme obsegati dostopa do podatkov drugih naročnikov obdelovalca.

Osebni podatki se hranijo v Evropski uniji. Baza podatkov teče v Frankfurtu.

Nekateri podobdelovalci so družbe s sedežem zunaj EU, tudi kadar obdelavo izvajajo v EU. Prenosi zunaj EU potekajo na podlagi standardnih pogodbenih klavzul Evropske komisije oziroma drugega veljavnega mehanizma iz V. poglavja Uredbe.

Kopijo veljavnih zaščitnih mehanizmov in razpoložljive ocene učinka prenosa obdelovalec na zahtevo posreduje upravljavcu.

Omejitev odgovornosti iz točke 9.7 splošnih pogojev velja tudi za to pogodbo. Omejitev je skupna za oba dokumenta in se ne sešteva. Iste škode ni mogoče uveljavljati po obeh.

Upravljavec obdelovalcu povrne škodo in stroške iz zahtevkov, ki izvirajo iz njegovih navodil, iz opustitve obveščanja njegovih gostov ali iz pomanjkanja pravne podlage za podatke iz 9. člena Uredbe.

Ta točka ne posega v odgovornost, ki jo posameznikom neposredno nalaga 82. člen Uredbe.

Pogodba velja ves čas trajanja naročniške pogodbe. Obveznosti iz točk 5, 10 in 11 veljajo tudi po njenem prenehanju.

Spremembe te pogodbe se objavijo po postopku iz točke 14 splošnih pogojev – bistvene spremembe s 30-dnevnim predhodnim obvestilom.

Za to pogodbo velja pravo Republike Slovenije; za spore je pristojno sodišče, določeno v splošnih pogojih.

Priloge A, B in C so sestavni del te pogodbe.