ERP1. Strane, opseg i upute
Ovaj ugovor o obradi dio je ERP ugovora za osobne podatke koji se obrađuju prema uputama korisnika. Korisnik je voditelj ili ovlašteni izvršitelj koji operatera imenuje podizvršiteljem; operater je izvršitelj za obuhvaćene korisničke zapise. Obrada, uključujući prijenose, provodi se samo prema dokumentiranim uputama, osim kada pravo Unije ili države članice zahtijeva drukčije; korisnika se prethodno obavještava osim ako je zabranjeno. Korisnika treba odmah upozoriti ako uputa izgleda protivna propisima i obustaviti pogođenu uputu do rješenja. Aktivnosti operatera kao samostalnog voditelja iz Obavijesti o privatnosti nisu obuhvaćene ovim ugovorom.
2. Opis obrade
Predmet: pružanje i podrška odabranim ERP modulima. Trajanje: razdoblje usluge te dogovoreni rokovi preuzimanja i brisanja, uz zakonitu pohranu. Postupci: prikupljanje, pohrana, organizacija, pristup, izračun, prijenos, izvoz i brisanje prema uputama. Ispitanici: korisnici, zaposlenici, suradnici, poslovni kontakti, klijenti i dobavljači korisničke tvrtke. Kategorije: identifikatori i poslovni kontakti, uloge, aktivnosti, projektni i transakcijski zapisi, podaci o plaćama i plaćanjima te naloženi prilozi. Potpisana narudžba mora suziti kategorije na korištene module i izričito navesti dopuštene posebne kategorije. Procjena financijskog partnera nije automatski uključena u ovaj opis izvršiteljske obrade.
3. Povjerljivost i sigurnost
Ovlašteno osoblje mora biti obvezano povjerljivošću. Izvršitelj mora provesti mjere iz članka 32. razmjerne riziku, uključujući upravljanje pristupom, odvajanje korisnika, zaštitu podataka u prijenosu i mirovanju gdje je primjereno, otpornost, oporavak i redovitu provjeru. Dogovoreni sigurnosni prilog navodi mjere primjenjive na Vašu uslugu. Ovaj ugovor ne tvrdi neovisnu certifikaciju ni određeni rok oporavka. Promjene sigurnosti ne smiju bitno smanjiti dogovorenu zaštitu.
4. Podizvršitelji i prijenosi
Korisnik mora dobiti dovršen registar podizvršitelja prije odobrenja. Mehanizam općeg odobrenja zahtijeva najmanje 30 dana prethodne obavijesti o dodavanju ili zamjeni i mogućnost obrazloženog prigovora radi zaštite podataka. Prigovor treba riješiti razumnom alternativom ili omogućiti raskid pogođene usluge prije početka obrade novog pružatelja. Svaki podizvršitelj mora prihvatiti sadržajno jednake obveze; operater ostaje odgovoran za njegovo izvršenje. Međunarodni prijenos zahtijeva primjenjive mjere iz poglavlja V. i dokumentirane upute. Registar pružatelja navodi odobreni hosting; dodatni pružatelji zahtijevaju objavu i odobrenje prema ovoj odredbi.
5. Prava, incidenti i pomoć u usklađivanju
Uzimajući u obzir prirodu obrade, izvršitelj pomaže s pravima ispitanika, sigurnošću, procjenom povreda, procjenama učinka i prethodnim savjetovanjem. Zahtjeve prosljeđuje bez odgovaranja u ime korisnika, osim uz ovlaštenje ili zakonsku obvezu. Korisnika obavještava bez nepotrebnog odgađanja nakon saznanja za povredu osobnih podataka, uz dostupne činjenice o prirodi, kategorijama i približnom broju pogođenih, kontaktu, vjerojatnim posljedicama i mjerama; informacije nadopunjuje kako postaju dostupne. Voditelj utvrđuje vlastite obveze prijave, uključujući GDPR rok od 72 sata za nadzorno tijelo kada je primjenjiv. Dogovor o pomoći ne smije onemogućiti zakonsku usklađenost.
6. Dokazivanje usklađenosti
Izvršitelj stavlja na raspolaganje informacije potrebne za dokazivanje usklađenosti te omogućuje revizije, uključujući inspekcije korisnika ili njegova ovlaštenog revizora, i sudjeluje u njima. Razumni uvjeti povjerljivosti, rasporeda i sigurnosti mogu zaštititi druge korisnike i sustave, ali ne smiju onemogućiti prava iz članka 28. ni pristup nadzornih tijela. Vode se propisane evidencije i dokazi uputa, odobrenja pružatelja, incidenata i brisanja. Korisnik ostaje odgovoran za zakonite svrhe, obavijesti, smanjenje količine podataka i procjenu praćenja zaposlenika.
7. Povrat, brisanje i daljnja uporaba
Prema izboru korisnika nakon usluge vratiti ili izbrisati obuhvaćene osobne podatke i preostale kopije, osim zakonski obvezne pohrane. Rokove izvoza i preuzimanja dogovoriti prije zatvaranja. Zakonski zadržane kopije moraju biti izdvojene i korištene samo za tu obvezu. Konačni prilog određuje istek kopija i kontrole oporavka kako se izbrisani zapisi ne bi vratili u aktivnu uporabu. Izrada anonimnih skupova zahtijeva dokumentirane upute i zakonito ovlaštenje korisnika; ugovor ne dopušta neovisnu uporabu osobnih podataka za oglašavanje ili opće AI treniranje. Stvarno anonimni rezultati smiju se koristiti samo uz zaštitu povjerljivosti i sprečavanje ponovne identifikacije iz Uvjeta.