Ugovor o obradi podataka (DPA)

1. Stranke i uloge

Prema ovom DPA-u, turistička agencija (kupac) voditelj je obrade podataka; ona određuje svrhe i sredstva obrade osobnih podataka svojih vodiča i sudionika putovanja.

First Point (Your Next Tours) izvršitelj je obrade podataka; osobne podatke obrađuje isključivo u ime i prema uputama voditelja obrade.

Kontakt izvršitelja obrade: contact@firstpoint.com.tr. Pravni naziv, adresa i podaci o registru bit će uneseni u dodatke s potpisom za svakog korisnika pojedinačno.

2. Predmet, trajanje, priroda i svrha

Predmet: obrada osobnih podataka potrebna za pružanje usluge Your Next Tours (funkcije računa, konfiguracije, sesije i ocjenjivanja povezane s telefonskim, izvanmrežnim audio emitiranjem tijekom tura).

Trajanje: obrada traje tijekom trajanja glavnog ugovora o pružanju usluga i završava njegovim istekom ili raskidom u skladu s Odjeljkom 9.

Priroda i svrha: podaci se obrađuju automatiziranim sredstvima radi stvaranja i upravljanja računom, pohrane predložaka tura i konfiguracije WiFi-ja/novčanika, provođenja prijava prije ture, pohrane i izvještavanja o podacima o sesijama i ocjenama te pružanja podrške.

3. Kategorije ispitanika i osobnih podataka

Kategorije ispitanika: vodiči/osoblje voditelja obrade i sudionici tura.

Podaci o računu: adresa e-pošte, naziv za prikaz, naziv organizacije (tvrtke), jezična preferencija i slika profila (avatar).

Podaci o upotrebi: sesije i trajanja tura, broj sudionika, ocjene i komentari te naziv za prikaz sudionika.

Konfiguracijski podaci: adrese kriptonovčanika (mreža i adresa), pojedinosti o WiFi profilu (SSID i lozinka) i predlošci tura.

Podaci o podršci i podaci prijave prije ture: uneseno ime sudionika, model telefona, status slušalica/prijenosne baterije i bilješke u slobodnom tekstu.

Nije predviđena obrada posebnih kategorija (osjetljivih) podataka; voditelj obrade obvezuje se da takve podatke neće unositi u uslugu.

4. Obveze voditelja obrade

Voditelj obrade jamči da su njegove upute i obrada osobnih podataka ispitanika zakoniti, da je pružio potrebne obavijesti i da je pribavio privolu tamo gdje je to potrebno.

Voditelj obrade odgovoran je za dokumentirane upute koje daje izvršitelju obrade te za točnost i zakonitost podataka koje učitava u uslugu.

5. Obveze izvršitelja obrade i dokumentirane upute

Izvršitelj obrade obrađuje osobne podatke samo prema dokumentiranim uputama voditelja obrade, koje čine ovaj DPA i glavni ugovor. Ako izvršitelj obrade smatra da je neka uputa nezakonita, o tome će obavijestiti voditelja obrade.

Osigurava da su osobe koje imaju pristup podacima obvezane povjerljivošću (ugovorno ili zakonski) i odobrava pristup samo na temelju potrebe saznanja.

Izvršitelj obrade ne koristi osobne podatke za vlastite svrhe, ne prodaje ih niti ih dijeli s trećim stranama izvan pružanja usluge.

6. Mjere sigurnosti (članak 32. GDPR-a)

Izvršitelj obrade primjenjuje tehničke i organizacijske mjere primjerene riziku. Općenito, One uključuju: odgovarajuću enkripciju/zaštitu u prijenosu i mirovanju, kontrolu pristupa i načelo najmanje privilegije, autentifikaciju, evidenciju aktivnosti/praćenje, sigurnosne kopije i redovitu provjeru.

Audioemitiranje TIJEKOM ture odvija se preko prijenosne lokalne WiFi mreže bez pristupa internetu; ova komunikacija uživo ne prolazi kroz računalni oblak u pozadini. Prijevod uživo jedina je iznimka na temelju opt-in načela: kada vodič izričito omogući tu značajku i potvrdi dijaloški okvir za privolu, vlastiti glas vodiča – nikada mikrofon sudionika – prenosi se u našu pozadinsku infrastrukturu i na Google Gemini radi prijevoda u stvarnom vremenu te se ne pohranjuje na našim poslužiteljima. Ova arhitektura smanjuje prijenos podataka sudionika tijekom ture.

U ovom tekstu ne tvrdi se posjedovanje određene certifikacije (npr. ISO 27001); pojedinosti i trenutni popis primijenjenih kontrola mogu se odrediti u sigurnosnom dodatku za svakog korisnika pojedinačno.

7. Izvršitelji obrade s podugovorom

Voditelj obrade daje izvršitelju obrade opće odobrenje za angažiranje izvršitelja obrade s podugovorom (npr. pružatelja usluga hostinga i infrastrukture) za pružanje usluge.

Trenutni popis izvršitelja obrade s podugovorom dostavlja se kupcu (Prilog). Izvršitelj obrade pismeno obvezuje svakog izvršitelja obrade s podugovorom na obveze zaštite podataka ekvivalentne onima u ovom DPA-u i ostaje odgovoran za postupke izvršitelja obrade s podugovorom.

Izvršitelj obrade obavijestit će voditelja obrade prije dodavanja ili zamjene izvršitelja obrade s podugovorom te će voditelju obrade omogućiti razuman rok za prigovor.

8. Prava ispitanika, obavješćivanje o povredi i pomoć

Izvršitelj obrade pomaže voditelju obrade u razumnoj mjeri i odgovarajućim tehničkim/organizacijskim mjerama u odgovaranju na zahtjeve ispitanika za ostvarivanje njihovih prava (pristup, ispravak, brisanje, prigovor, prenosivost).

Izvršitelj obrade bez nepotrebnog odgađanja obavješćuje voditelja obrade nakon saznanja o povredi osobnih podataka te pruža informacije potrebne voditelju obrade za ispunjenje zakonskih obveza obavješćivanja.

Izvršitelj obrade u razumnoj mjeri pomaže voditelju obrade s obvezama prema člancima 32. – 36. GDPR-a (sigurnost, obavješćivanje o povredi i procjene učinka na zaštitu podataka).

9. Brisanje ili vraćanje podataka

Nakon završetka aktivnosti obrade, izvršitelj obrade će, prema izboru voditelja obrade, izbrisati ili vratiti osobne podatke i uništiti postojeće kopije u razumnom roku, osim ako čuvanje nije obvezno prema primjenjivom pravu.

Voditelj obrade također može izbrisati račun i dijelove podataka putem upravljačke ploče tijekom trajanja usluge.

10. Revizije

Izvršitelj obrade stavlja na raspolaganje voditelju obrade, u razumnoj mjeri, informacije nužne za dokazivanje sukladnosti s obvezama u ovom DPA.

Voditelj obrade može zatražiti reviziju/inspekciju uz razumnu prethodnu obavijest i tijekom radnog vremena, podložno ograničenjima povjerljivosti i sigurnosti te bez neopravdanog ometanja usluge. Pojedinosti se mogu dogovoriti pojedinačno za svakog korisnika.

11. Međunarodni prijenosi

Kada se osobni podaci prenose izvan Turske ili Europskoga gospodarskog prostora, primjenjuju se valjani mehanizmi prijenosa i odgovarajuće zaštitne mjere prema KVKK-u i GDPR-u (npr. standardne ugovorne klauzule).

Zemlje u koje se podaci prenose i primijenjene zaštitne mjere navedene su u dodatku za podizvršitelje obrade, gdje je to primjenjivo.