Informativni prevod. V primeru razhajanj prevlada izvirna angleška različica, pod jurisdikcijo Irske (Cuandeoro Limited, CRO 813028).
Pogodba o obdelavi podatkov Veripass
Je sestavni del Splošnih pogojev poslovanja.
1. Pogodbeni stranki in vloge. Stranka je upravljavec. Cuandeoro Limited t/a Veripass je obdelovalec osebnih podatkov, ki jih vsebujejo dokumenti Stranke in vsebina računa („Osebni podatki Stranke“).
2. Predmet, narava in namen. Shranjevanje, izvlečenje, analiza in objava podatkov potnih listov izdelkov in baterij, izključno za zagotavljanje Storitve.
3. Trajanje. Trajanje naročnine in rok za izbris iz točke 11.
4. Kategorije posameznikov, na katere se nanašajo osebni podatki. Osebje in uporabniki Stranke; kontaktne osebe dobaviteljev, strank in laboratorijev Stranke, navedene v naloženih dokumentih.
5. Kategorije podatkov. Imena, poslovni kontaktni podatki, nazivi delovnih mest, podpisi in identifikatorji v dokumentih; podatki uporabniških računov. Posebne vrste podatkov se ne pričakujejo. Stranka jih ne bo nalagala.
5A. Obveznosti Stranke. Stranka zagotovi, da ima zakonito podlago za obdelavo in daje zakonita navodila, po potrebi obvešča posameznike, na katere se podatki nanašajo, ter ne nalaga posebnih vrst podatkov.
6. Obveznosti obdelovalca. Veripass bo:
- (a) obdeloval podatke le po dokumentiranih navodilih Stranke, tudi v zvezi s prenosi v tretjo državo, razen če to zahteva pravo EU ali države članice, in v tem primeru Veripass Stranko pred obdelavo obvesti o tej pravni zahtevi, razen če ta zakonodaja takšno obveščanje prepoveduje zaradi pomembnih razlogov javnega interesa;
- (b) zagotovil, da so osebe, pooblaščene za obdelavo, zavezane k zaupnosti;
- (c) izvajal tehnične in organizacijske ukrepe iz Priloge 2;
- (d) pomagal Stranki pri zahtevah posameznikov, na katere se podatki nanašajo, in pri izpolnjevanju obveznosti iz čl. 32–36 GDPR, ob upoštevanju narave obdelave;
- (e) dal na voljo informacije, potrebne za dokazovanje skladnosti;
- (f) takoj obvestil Stranko, če navodilo krši zakonodajo o varstvu podatkov.
7. Podobdelovalci.
- Stranka daje splošno dovoljenje za podobdelovalce iz Priloge 3.
- Veripass o novih podobdelovalcih obvesti po e-pošti 30 dni vnaprej. Stranka lahko iz razumnih razlogov ugovarja in, če rešitev ni dogovorjena, pogodbo brez kazni odpove.
- Veripass vsakemu podobdelovalcu naloži enakovredne obveznosti glede varstva podatkov in zanje ostaja odgovoren.
8. Mednarodni prenosi. Osebni podatki Stranke se lahko obdelujejo v Združenih državah Amerike pri ponudniku gostovanja družbe Veripass (Cloud Clusters, Inc.) in pri družbi Google (API Gemini, plačljiva raven), na podlagi standardnih pogodbenih klavzul (Sklep Komisije (EU) 2021/914) in, kjer je ustrezno, okvira EU-ZDA za varstvo podatkov (Data Privacy Framework), z dodatnimi ukrepi (šifriranje med prenosom in v mirovanju). Datoteke za predstavitev se izbrišejo po 24 urah.
9. Obdelava z umetno inteligenco. Dokumente obdelujejo ponudniki umetne inteligence iz Priloge 3 pod pogoji, ki jim ne dovoljujejo uporabe podatkov Stranke za učenje njihovih modelov. Vaših dokumentov ali podatkov ne uporabljamo za učenje nobenega modela umetne inteligence.
10. Kršitve varstva osebnih podatkov. Veripass Stranko obvesti brez nepotrebnega odlašanja in v vsakem primeru v 48 urah po tem, ko izve za kršitev, ki vpliva na Osebne podatke Stranke, z informacijami, ki jih zahteva čl. 33(3) GDPR, takoj ko so na voljo.
11. Vračilo in izbris. Po izbiri Stranke Veripass Osebne podatke Stranke vrne ali izbriše. V 60 dneh po prenehanju lahko Stranka svoje podatke izvozi. Nato Veripass Osebne podatke Stranke izbriše v 30 dneh, vključno z varnostnimi kopijami v okviru njihovega cikla rotacije (največ 35 dni), razen če pravo EU ali države članice zahteva hrambo.
12. Revizije. Veripass omogoča revizije, vključno s pregledi, ki jih opravi Stranka ali neodvisni revizor, ki ga ta pooblasti in je zavezan k zaupnosti, ter k njim prispeva. Revizije potekajo enkrat na 12 mesecev z 30-dnevnim obvestilom (pogosteje po kršitvi ali kadar to zahteva nadzorni organ), med delovnim časom in na stroške Stranke. Kadar zadostuje, ima prednost pisni vprašalnik.
13. Odgovornost. Ob upoštevanju omejitev iz Splošnih pogojev poslovanja, razen kjer GDPR omejitve ne dopušča.
14. Prednost. V primeru neskladja ima ta DPA pri vprašanjih varstva podatkov prednost pred Splošnimi pogoji.
Priloga 1 · Podrobnosti obdelave
Kot v točkah 2 do 5.
Priloga 2 · Tehnični in organizacijski ukrepi
- TLS 1.2 ali višji med prenosom; šifriranje AES-256 v mirovanju.
- Dostop na podlagi vlog, MFA za osebje, načelo najmanjših pravic.
- Podatki strank so logično ločeni po računih.
- Revizijska sled potrditev in objav.
- Dnevne šifrirane varnostne kopije, 35-dnevna rotacija.
- Datoteke za predstavitev se izbrišejo po 24 h.
- Odprava kritičnih ranljivosti (popravki) v 7 dneh.
- Letni pregled teh ukrepov.
Priloga 3 · Podobdelovalci
| Podobdelovalec | Namen | Lokacija |
|---|---|---|
| Cloud Clusters, Inc. | Gostovanje aplikacije in strani potnih listov | Združene države Amerike |
| Google (API Gemini, plačljiva raven) | Izvlečenje podatkov iz dokumentov | Združene države Amerike |
| Cloud Clusters, Inc. (lasten poštni strežnik, mailcow) | E-pošta | Združene države Amerike |
Stripe obdeluje lastne podatke družbe Veripass za obračun; ne obdeluje Osebnih podatkov Stranke iz dokumentov.