Ugovor o obradi podataka

Ovaj Ugovor o obradi osobnih podataka (Data Processing Agreement, dalje: “Ugovor” ili “DPA”) sastavni je dio Uvjeta korištenja i sklapa se sukladno čl. 28. Uredbe (EU) 2016/679 (GDPR). Klijent ovaj Ugovor automatski prihvaća kupnjom paketa Celebre.

Ugovorne strane

1. Predmet i svrha obrade

Predmet ovog Ugovora je obrada osobnih podataka Gostiju koje Voditelj obrade unosi u dashboard Celebre u svrhu organizacije svog eventa (vjenčanje, rođendan, krštenje, godišnjica i sl.).

Konkretne aktivnosti obrade uključuju:

• Pohrana popisa pozvanih Gostiju u sigurnoj bazi podataka
• Slanje pozivnica i transakcijskih emailova Gostima u ime Voditelja obrade
• Prikupljanje RSVP odgovora Gostiju
• Generiranje izvještaja i statistika za Voditelja obrade
• Sigurnosna pohrana, backup i logiranje

2. Vrsta i kategorija osobnih podataka

Izvršitelj obrade obrađuje sljedeće kategorije osobnih podataka Gostiju u ime Voditelja obrade:

• Ime i prezime
• Email adresa (opcionalno, ako Voditelj obrade unese)
• Telefonski broj (opcionalno)
• Odgovor o dolasku (dolazi / ne dolazi), broj pratitelja, ime pratitelja
• Prehrambene preferencije / alergije (osjetljivi podaci sukladno čl. 9. GDPR — Voditelj obrade je odgovoran za ishođenje izričite privole Gosta)
• Slobodne poruke Gosta

Kategorije ispitanika: Gosti pozvani na event Voditelja obrade.

3. Trajanje obrade

Obrada traje sve dok Voditelj obrade koristi dashboard Celebre, a najduže do isteka razdoblja čuvanja podataka definiranog u Politici privatnosti. Po prestanku ugovornog odnosa između Voditelja obrade i Izvršitelja obrade, Izvršitelj obrade će u roku od 30 dana obrisati ili anonimizirati sve obrađivane osobne podatke Gostiju, osim u dijelu u kojem ih je dužan čuvati prema zakonu.

4. Obveze Izvršitelja obrade

Izvršitelj obrade obvezuje se:

• Osobne podatke obrađivati isključivo prema dokumentiranim uputama Voditelja obrade (čl. 28/3/a GDPR)
• Osigurati da osobe koje imaju pristup podacima podliježu obvezi povjerljivosti
• Primijeniti odgovarajuće tehničke i organizacijske mjere zaštite (čl. 32. GDPR): enkripcija u prijenosu (HTTPS), enkripcija lozinki i passcode-a (bcrypt), Row Level Security (RLS) na razini baze, audit log, rate limiting, redovita ažuriranja
• Bez nepotrebnog odgađanja obavijestiti Voditelja obrade u slučaju povrede osobnih podataka (čl. 33. GDPR)
• Pomoći Voditelju obrade pri ostvarivanju prava ispitanika (pristup, ispravak, brisanje, prenosivost)
• Po završetku pružanja usluga obrisati ili vratiti sve osobne podatke Voditelju obrade, prema njegovom izboru
• Voditelju obrade staviti na raspolaganje sve informacije potrebne za dokazivanje usklađenosti s obvezama iz čl. 28. GDPR-a

5. Podizvršitelji obrade (Sub-processors)

Voditelj obrade daje opću prethodnu suglasnost za uključivanje sljedećih podizvršitelja u obradu:

• Supabase Inc. — pohrana baze podataka (EU regija, Frankfurt)
• Vercel Inc. — hosting web platforme
• Resend Inc. — slanje transakcijskih emailova
• Stripe Payments Europe Ltd. — obrada plaćanja (samo podaci Klijenta, ne i Gostiju)
• Upstash Inc. — sigurnosna zaštita (rate limiting)

Izvršitelj obrade će unaprijed obavijestiti Voditelja obrade o eventualnim izmjenama u popisu podizvršitelja (najmanje 30 dana ranije), a Voditelj obrade ima pravo prigovora.

Svi navedeni podizvršitelji obvezani su pisanim ugovorom koji jamči razinu zaštite jednaku ili višu od ovog Ugovora.

6. Prijenos podataka izvan EU

Neki podizvršitelji imaju infrastrukturu u SAD-u. Prijenosi su pokriveni:

• EU-US Data Privacy Framework (DPF) certifikacijom
• Standardnim ugovornim klauzulama (SCC) Europske komisije
• EU hosting opcijom za baznu pohranu (Supabase Frankfurt)

7. Obveze Voditelja obrade

Voditelj obrade obvezuje se:

• Imati valjanu pravnu osnovu za obradu osobnih podataka Gostiju (privola, ugovor, legitimni interes) prije unošenja podataka u dashboard
• Informirati Goste o obradi podataka i o tome da se podaci obrađuju i kroz Celebra platformu (kratko spomenuti u pozivnici, putem privatne komunikacije ili na drugi prikladan način)
• Ako unosi osjetljive podatke (npr. alergije), ishoditi izričitu privolu Gosta
• Brzo odgovarati na zahtjeve Gostiju za ostvarivanje GDPR prava (Izvršitelj obrade pomaže tehnički)
• Ne unositi podatke maloljetnih osoba bez privole roditelja/skrbnika

8. Odgovornost

Svaka strana odgovara za štetu uzrokovanu kršenjem ovog Ugovora, ovisno o ulozi koju je imala u obradi (čl. 82. GDPR-a). Ukupna odgovornost Izvršitelja obrade prema Voditelju obrade ograničena je do iznosa koji je Voditelj obrade platio Izvršitelju obrade u zadnjih 12 mjeseci za relevantnu uslugu.

9. Trajanje Ugovora

Ovaj Ugovor stupa na snagu trenutkom kupnje paketa od strane Voditelja obrade i traje sve dok postoji ugovorni odnos između strana. Prestankom ugovornog odnosa, primjenjuju se odredbe o brisanju ili vraćanju podataka iz t. 4.

10. Mjerodavno pravo i rješavanje sporova

Na ovaj Ugovor primjenjuje se pravo Republike Hrvatske i GDPR. Za sve sporove nadležan je stvarno nadležan sud u Republici Hrvatskoj prema sjedištu Izvršitelja obrade.

Kontakt

Za sva pitanja vezana uz ovaj Ugovor o obradi podataka: hello@bycelebra.com