Ugovor o obradi podataka o ličnosti

Verzija 1.0 · na snazi od [DATUM]

Ovaj ugovor je sastavni deo Uslova korišćenja i zaključuje se u skladu sa članom 45. Zakona o zaštiti podataka o ličnosti („Sl. glasnik RS" br. 87/2018).

1. Uloge

Rukovalac je lokal koji koristi Rundu. On određuje svrhu i način obrade podataka svog osoblja i svog poslovanja.

Obrađivač je [PUN NAZIV], [ADRESA], PIB [PIB], koji te podatke obrađuje isključivo po dokumentovanom nalogu rukovaoca.

2. Predmet, priroda i svrha obrade

Obrađivač obrađuje podatke o ličnosti kako bi rukovaocu pružio uslugu opisanu u Uslovima korišćenja: primanje i usmeravanje porudžbina, vođenje računa, izveštavanje i evidencija rada osoblja.

Obrada traje koliko i ugovor između strana.

3. Vrste podataka i kategorije lica

Lica: zaposleni i angažovani u lokalu (vlasnici, rukovodioci, konobari, osoblje stanica).

Podaci: ime, uloga, email adresa (za vlasnike i rukovodioce), kriptografski otisak PIN-a, identifikator i naziv uređaja, vremena prijava, i evidencija radnji izvršenih u aplikaciji (unete runde, naplate, storniranja, popusti).

Gosti lokala: obrađivač ne prikupljа podatke o ličnosti gostiju. Poziv konobara sa digitalnog menija beleži isključivo broj stola i vreme.

4. Obaveze obrađivača

Obrađivač:

1. obrađuje podatke isključivo po dokumentovanom nalogu rukovaoca, uključujući i prenos u druge zemlje, osim ako je na obradu obavezan propisom, u kom slučaju o tome obaveštava rukovaoca pre obrade, ako propis to ne zabranjuje;
2. obezbeđuje da su lica ovlašćena za obradu obavezana na poverljivost;
3. sprovodi mere bezbednosti iz člana 6;
4. ne angažuje drugog obrađivača bez prethodnog odobrenja rukovaoca, uz uslove iz člana 5;
5. pomaže rukovaocu da odgovori na zahteve lica za ostvarivanje prava;
6. pomaže rukovaocu u ispunjavanju obaveza bezbednosti obrade, prijave povrede i procene uticaja;
7. po prestanku ugovora briše ili vraća podatke po izboru rukovaoca;
8. stavlja rukovaocu na raspolaganje podatke potrebne da dokaže postupanje po ovom ugovoru i omogućava kontrolu.

5. Drugi obrađivači

Rukovalac ovim daje opšte odobrenje za angažovanje sledećih obrađivača:

Obrađivač će rukovaoca obavestiti najmanje 30 dana pre uvođenja ili zamene bilo kog drugog obrađivača. Rukovalac ima pravo prigovora; ako prigovor ne bude otklonjen, rukovalac može raskinuti ugovor bez otkaznog roka.

Sa svakim drugim obrađivačem ugovorene su iste obaveze kao ovim ugovorom.

6. Mere bezbednosti

• Prenos podataka isključivo preko TLS.
• Izolacija podataka između lokala sprovedena na nivou baze podataka (row-level security), a ne samo u aplikaciji.
• Lozinke i PIN-ovi se čuvaju isključivo kao kriptografski otisci.
• Tokeni uparenih uređaja se čuvaju kao otisci; PIN bez uparenog uređaja je bezvredan.
• Ograničavanje broja pokušaja PIN-a i zaključavanje uređaja posle uzastopnih neuspeha.
• Evidencija radnji (audit log) koja se ne može izmeniti ni obrisati kroz aplikaciju.
• Redovne rezervne kopije, uz redovnu proveru da se mogu vratiti.
• Pristup produkcionim podacima ograničen na lica kojima je neophodan.

7. Povreda podataka

Obrađivač će rukovaoca obavestiti bez nepotrebnog odlaganja, a najkasnije u roku od 48 sati od saznanja za povredu podataka, i dostaviti mu sve raspoložive informacije potrebne da rukovalac ispuni svoju obavezu prijave Povereniku u roku od 72 sata.

8. Brisanje i vraćanje

Po prestanku ugovora rukovalac ima 30 dana da izveze svoje podatke. Po isteku tog roka obrađivač briše sve podatke u roku od narednih 30 dana, uključujući kopije, osim onoga što je dužan da čuva po propisu.

Na zahtev, obrađivač dostavlja pisanu potvrdu o brisanju.

9. Kontrola

Rukovalac ima pravo da jednom godišnje, uz najavu od 30 dana, izvrši kontrolu postupanja obrađivača po ovom ugovoru, o svom trošku i bez ometanja poslovanja obrađivača.

10. Merodavno pravo

Pravo Republike Srbije.