Ugovor o obradi podataka o ličnosti

Nacrt. Tekst je u pravnoj proveri.

Ugovor o obradi podataka o ličnosti

zaključen u skladu sa članom 45. Zakona o zaštiti podataka o ličnosti („Službeni glasnik RS”, br. 87/2018, u daljem tekstu: ZZPL) između:

1. sportskog udruženja u čije ime vlasnik kluba prihvata ovaj ugovor prilikom aktivacije naloga u Usluzi; naziv, sedište i podaci udruženja su oni koje je udruženje dostavilo Obrađivaču pri otvaranju naloga kluba (u daljem tekstu: Rukovalac ili Klub)
2. Marko Pešić, 7.JULA 6, Smederevo, pružaoca usluge SportEvo (u daljem tekstu: Obrađivač ili SportEvo)

(zajedno: Ugovorne strane).

Član 1 – Predmet ugovora

1.1. Obrađivač pruža Rukovaocu uslugu SportEvo – mobilnu i veb aplikaciju za upravljanje sportskim klubom (u daljem tekstu: Usluga), na osnovu Uslova korišćenja (u daljem tekstu: Uslovi korišćenja).

1.2. U okviru pružanja Usluge, Obrađivač obrađuje podatke o ličnosti u ime Rukovaoca. Ovim ugovorom uređuju se predmet i trajanje obrade, priroda i svrha obrade, vrsta podataka o ličnosti i vrsta lica na koje se podaci odnose, kao i prava i obaveze Ugovornih strana, u skladu sa članom 45. stav 3. ZZPL.

1.3. Ovaj ugovor je sastavni deo Uslova korišćenja. U slučaju neslaganja u pitanjima obrade podataka o ličnosti, prednost ima ovaj ugovor.

Član 2 – Značenje izraza

Izrazi „podatak o ličnosti”, „obrada”, „rukovalac”, „obrađivač”, „lice na koje se podaci odnose”, „posebne vrste podataka o ličnosti”, „povreda podataka o ličnosti” i „pristanak” imaju značenje utvrđeno članom 4. ZZPL. „Podobrađivač” je lice kome Obrađivač poverava deo obrade u skladu sa članom 5.4. ovog ugovora. „Maloletni član” je član Kluba koji nije navršio 18 godina.

Član 3 – Opis obrade

Predmet, priroda i svrha obrade, vrste podataka o ličnosti, vrste lica na koja se podaci odnose, trajanje obrade, lokacija obrade i spisak podobrađivača utvrđeni su u Prilogu 1, koji je sastavni deo ovog ugovora.

Član 4 – Uloge Ugovornih strana

4.1. Rukovalac samostalno određuje svrhu i način obrade podataka o ličnosti svojih članova, roditelja odnosno staratelja maloletnih članova, trenera i osoblja koje unosi u Uslugu, i za tu obradu je rukovalac u smislu ZZPL.

4.2. Obrađivač te podatke obrađuje isključivo u ime Rukovaoca, radi pružanja Usluge, i za tu obradu je obrađivač u smislu ZZPL.

4.3. Obrađivač je samostalni rukovalac samo za obradu koja je neophodna za rad same Usluge i koja nije pod kontrolom Rukovaoca: korisničke naloge (adresa e-pošte, lozinka, identifikator uređaja za obaveštenja), tehničke evidencije o radu i greškama aplikacije, evidenciju pristupa podacima maloletnih lica i podatke neophodne za naplatu Usluge Rukovaocu. Ta obrada je opisana u Politici privatnosti SportEvo.

Član 5 – Obaveze Obrađivača

Obrađivač je dužan da:

5.1. Postupa po uputstvima. Obrađuje podatke o ličnosti samo na osnovu pisanih uputstava Rukovaoca, uključujući uputstva u pogledu prenosa podataka u druge države. Uslovi korišćenja, ovaj ugovor i radnje koje ovlašćeni korisnici Rukovaoca preduzimaju u Usluzi (unos, izmena, brisanje podataka, slanje obaveštenja) smatraju se pisanim uputstvima Rukovaoca. Ako Obrađivač smatra da uputstvo krši ZZPL ili drugi propis, bez odlaganja o tome obaveštava Rukovaoca. Ako je Obrađivač zakonom obavezan da obrađuje podatke mimo uputstava, o tome obaveštava Rukovaoca pre započinjanja obrade, osim ako zakon to zabranjuje.

5.2. Obezbedi poverljivost. Obezbedi da se svako fizičko lice koje je ovlašćeno da obrađuje podatke o ličnosti obavezalo na čuvanje poverljivosti podataka ili da podleže zakonskoj obavezi čuvanja poverljivosti.

5.3. Primenjuje mere zaštite. Preduzme odgovarajuće tehničke, organizacione i kadrovske mere iz člana 50. ZZPL, najmanje mere opisane u Prilogu 1, tačka 7.

5.4. Angažuje podobrađivače pod uslovima. Rukovalac ovim daje opšte pismeno ovlašćenje za angažovanje podobrađivača iz Priloga 1, tačka 6. Obrađivač obaveštava Rukovaoca o nameravanom dodavanju ili zameni podobrađivača najmanje 30 dana unapred, na adresu e-pošte Rukovaoca registrovanu u Usluzi. Rukovalac može u tom roku uložiti obrazloženi prigovor; ako prigovor nije moguće otkloniti, Rukovalac može raskinuti Uslove korišćenja bez otkaznog roka. Obrađivač sa svakim podobrađivačem zaključuje ugovor kojim mu nameće obaveze zaštite podataka koje nisu manje od obaveza iz ovog ugovora i odgovara Rukovaocu za rad podobrađivača kao za svoj.

5.5. Pomaže u ostvarivanju prava lica. Uzimajući u obzir prirodu obrade, pomaže Rukovaocu, primenom odgovarajućih mera, u ispunjavanju obaveza prema zahtevima lica na koja se podaci odnose iz Glave III ZZPL (pristup, ispravka, brisanje, ograničenje obrade, prenosivost, prigovor). Zahtev koji lice uputi neposredno Obrađivaču, Obrađivač prosleđuje Rukovaocu bez odlaganja, a najkasnije u roku od 5 radnih dana, i ne odgovara na njega u ime Rukovaoca bez njegovog uputstva, osim kada je reč o obradi iz člana 4.3.

5.6. Pomaže u bezbednosti, obaveštavanju o povredi i proceni uticaja. Pomaže Rukovaocu u ispunjavanju obaveza iz člana 50. i čl. 52. do 55. ZZPL, uzimajući u obzir prirodu obrade i informacije kojima raspolaže, u skladu sa članom 8. ovog ugovora.

5.7. Izbriše ili vrati podatke po prestanku. Po prestanku pružanja Usluge, u roku od 30 dana i prema izboru Rukovaoca, izvozi Rukovaocu sve podatke o ličnosti u strukturiranom, uobičajeno korišćenom i mašinski čitljivom formatu, odnosno trajno izbriše sve podatke o ličnosti i njihove kopije, osim ako je zakonom propisana obaveza čuvanja. Ako Rukovalac ne da uputstvo u tom roku, Obrađivač podatke briše.

5.8. Omogući kontrolu. Učini Rukovaocu dostupnim sve informacije neophodne za dokazivanje ispunjenosti obaveza iz člana 45. ZZPL i omogući kontrolu koju sprovodi Rukovalac ili lice koje on ovlasti, uz prethodnu najavu od najmanje 30 dana, najviše jednom u kalendarskoj godini, osim kada je kontrola posledica povrede podataka o ličnosti ili zahteva nadležnog organa. Troškove kontrole snosi Rukovalac, osim ako kontrola utvrdi bitnu povredu ovog ugovora.

Član 6 – Obaveze Rukovaoca

Rukovalac je dužan da:

6.1. obezbedi da za svaku obradu koju vrši putem Usluge postoji pravni osnov iz člana 12. ZZPL, a za posebne vrste podataka osnov iz člana 17. ZZPL;

6.2. licima na koja se podaci odnose pruži obaveštenje o obradi iz čl. 23. i 24. ZZPL, uključujući obaveštenje da podatke u njegovo ime obrađuje SportEvo;

6.3. u Uslugu unosi samo tačne i ažurne podatke i samo one podatke koji su neophodni za svrhe iz Priloga 1;

6.4. samostalno odlučuje koja lica (vlasnik kluba, treneri, osoblje) imaju pristup Usluzi i sa kojim ovlašćenjima, i odgovara za njihove radnje u Usluzi;

6.5. bez odlaganja obavesti Obrađivača ako sazna da je neki korisnički nalog zloupotrebljen.

Član 7 – Saglasnost roditelja i izjava Rukovaoca

7.1. Rukovalac potvrđuje da za svakog maloletnog člana, pre njegovog učlanjenja, pribavlja pisanu saglasnost roditelja odnosno staratelja u skladu sa članom 49. stav 4. Zakona o sportu, i da uz nju roditelju odnosno staratelju daje obaveštenje o obradi podataka iz člana 23. ZZPL u kome je SportEvo naveden kao obrađivač.

7.2. Rukovalac može u Uslugu unositi podatke o zdravstvenom stanju maloletnog člana (alergije, hronična oboljenja, dokumenta o lekarskim pregledima) samo ako je od roditelja odnosno staratelja pribavio poseban izričit pristanak u skladu sa članom 17. stav 2. tačka 1) ZZPL, odvojen od saglasnosti za učlanjenje i opoziv u svakom trenutku. Datum i rok važenja lekarskog pregleda, bez medicinskog sadržaja, ne smatraju se podatkom o zdravstvenom stanju u smislu ovog stava.

7.3. Rukovalac čuva potpisane saglasnosti iz st. 7.1. i 7.2. za sve vreme članstva i još 5 godina po prestanku članstva, i dostavlja ih Obrađivaču ili nadležnom organu na zahtev u roku od 5 radnih dana.

7.4. Kada ovlašćeni korisnik Rukovaoca u Usluzi, prilikom unosa maloletnog člana, označi polje „Potvrđujem da klub poseduje potpisanu saglasnost roditelja/staratelja”, odnosno polje „Potvrđujem da klub poseduje poseban izričit pristanak roditelja/staratelja za obradu zdravstvenih podataka”, smatra se da je Rukovalac dao izjavu da je saglasnost iz st. 7.1. odnosno 7.2. pribavljena za tog člana. Obrađivač se oslanja na tu izjavu, ne proverava njenu tačnost i evidentira ko je i kada izjavu dao. Rukovalac u celosti odgovara za tačnost izjave.

7.5. Umesto postupka iz stava 7.4, Rukovalac može koristiti elektronski postupak pribavljanja saglasnosti koji Usluga omogućava (slanje zahteva za saglasnost roditelju e-poštom i potvrda putem veb obrasca). Obrađivač taj postupak sprovodi u ime Rukovaoca.

7.6. Ako roditelj odnosno staratelj opozove pristanak za obradu zdravstvenih podataka, Rukovalac bez odlaganja, a najkasnije u roku od 3 radna dana, evidentira opoziv u Usluzi ili o njemu obaveštava Obrađivača, koji zdravstvene podatke tog člana briše.

Član 8 – Povreda podataka o ličnosti

8.1. Obrađivač obaveštava Rukovaoca o svakoj povredi podataka o ličnosti bez odlaganja, a najkasnije u roku od 48 sati od saznanja, na adresu e-pošte Rukovaoca registrovanu u Usluzi.

8.2. Obaveštenje sadrži najmanje: opis prirode povrede, vrste i približan broj lica i podataka na koje se povreda odnosi, verovatne posledice, preduzete i predložene mere i kontakt lice. Informacije koje nisu dostupne u trenutku obaveštenja dostavljaju se naknadno bez odlaganja.

8.3. Obrađivač ne obaveštava Poverenika ni lica na koja se podaci odnose u ime Rukovaoca bez njegovog uputstva, osim kada je to zakonska obaveza Obrađivača. Rok od 72 sata za obaveštavanje Poverenika iz člana 52. ZZPL teče Rukovaocu.

Član 9 – Prenos u druge države

9.1. Podaci se obrađuju na lokacijama iz Priloga 1, tačka 5. Ako lokacija obrade ili podobrađivač nije u Republici Srbiji, prenos se vrši u državu sa spiska iz člana 64. ZZPL ili uz primenu odgovarajućih mera zaštite iz člana 65. ZZPL (standardne ugovorne klauzule).

9.2. Promena lokacije obrade smatra se promenom podobrađivača u smislu člana 5.4.

Član 10 – Odgovornost

10.1. Svaka Ugovorna strana odgovara za štetu koju prouzrokuje povredom svojih obaveza iz ZZPL i ovog ugovora, u skladu sa članom 86. ZZPL.

10.2. Rukovalac odgovara Obrađivaču za svaku štetu, kaznu ili trošak koji nastane zbog netačnosti izjave iz člana 7.4, nepostojanja pravnog osnova za obradu koju je Rukovalac naložio ili neispunjenja obaveze obaveštavanja iz člana 6.2.

10.3. Ograničenje odgovornosti iz Uslova korišćenja primenjuje se i na ovaj ugovor, osim u delu u kome je to protivno ZZPL.

Član 11 – Trajanje i prestanak

11.1. Ovaj ugovor stupa na snagu danom prihvatanja iz člana 12.3. i traje dok Rukovalac koristi Uslugu.

11.2. Prestankom Uslova korišćenja prestaje i ovaj ugovor. Obaveze iz čl. 5.2, 5.7, 7.3. i 10. ostaju na snazi i posle prestanka.

Član 12 – Završne odredbe

12.1. Na ovaj ugovor primenjuje se pravo Republike Srbije. Za sporove je nadležan stvarno nadležni sud u Beogradu.

12.2. Izmene ovog ugovora vrše se u pisanom obliku. Obrađivač može predložiti izmene radi usklađivanja sa promenom propisa; ako Rukovalac ne uloži prigovor u roku od 30 dana od obaveštenja, smatra se da je izmene prihvatio.

12.3. Ugovor se zaključuje elektronski: označavanjem polja za prihvatanje Uslova korišćenja i ovog ugovora prilikom aktivacije naloga vlasnika kluba u Usluzi, čime vlasnik kluba izjavljuje da je ovlašćen da zastupa Klub. Obrađivač evidentira verziju ugovora (navedenu na vrhu ove stranice), datum i vreme prihvatanja i nalog kojim je ugovor prihvaćen. Ta evidencija ima dejstvo pisanog oblika u skladu sa članom 45. stav 3. ZZPL. Klub čiji je nalog otvoren pre objave ove verzije ugovora može ga prihvatiti i potpisom na primerku koji mu Obrađivač dostavi.

Prilog 1 – Opis obrade

1. Predmet i priroda obrade. Čuvanje, organizovanje, prikazivanje, izmena, brisanje i prenos podataka u okviru Usluge; slanje obaveštenja e-poštom i putem push notifikacija po nalogu Rukovaoca.

2. Svrhe obrade (određuje Rukovalac). Upravljanje članstvom; organizacija grupa, treninga i događaja; evidencija prisustva; evidencija članarina, zaduženja i uplata; komunikacija sa članovima i roditeljima/starateljima; praćenje roka važenja lekarskih pregleda; upravljanje pristupom trenera i osoblja.

3. Lica na koja se podaci odnose. Članovi Kluba, uključujući maloletne članove; roditelji/staratelji maloletnih članova; treneri; osoblje i vlasnik Kluba.

4. Vrste podataka.

• identifikacioni: ime, prezime, datum rođenja, pol, državljanstvo, fotografija;
• kontakt: adresa e-pošte, broj telefona, adresa;
• članstvo: grupa, status, datum učlanjenja i prestanka, vrsta i iznos članarine;
• prisustvo na treninzima i događajima, prijave na događaje;
• finansijski: zaduženja, uplate, dugovanja (bez podataka o platnim karticama);
• veza roditelj–dete i podaci o datoj saglasnosti;
• posebne vrste podataka, samo uz izričit pristanak iz člana 7.2: alergije, hronična oboljenja, dokumenta o lekarskim pregledima.

5. Lokacija obrade. Baza podataka, skladište dokumenata i serverske funkcije: Evropska unija (Frankfurt, Nemačka), na infrastrukturi podobrađivača Supabase. Ostali podobrađivači prema tački 6.

6. Podobrađivači.

7. Tehničke, organizacione i kadrovske mere.

• šifrovanje podataka u prenosu (TLS) i u mirovanju;
• kontrola pristupa po ulogama sprovedena na nivou baze podataka (politike pristupa po redovima), tako da svaki korisnik vidi samo podatke svog kluba i svoje uloge;
• podaci maloletnih članova bez evidentirane saglasnosti nisu dostupni trenerima i osoblju;
• evidencija pristupa podacima maloletnih članova (dnevnik pristupa), čuva se 12 meseci;
• šifrovano čuvanje pristupnih tokena na uređaju korisnika;
• pristup administrativnim ključevima ograničen na Obrađivača; podobrađivači pristupaju samo u meri neophodnoj za svoju uslugu;
• brisanje podataka člana u roku od 30 dana od zahteva; brisanje zdravstvenih podataka odmah po opozivu pristanka.

8. Trajanje obrade. Za vreme korišćenja Usluge; po prestanku prema članu 5.7.