Уговор о обради података (DPA)

1. Уговорне стране и улоге

Према овом DPA-у, туристичка агенција (корисник) јесте руковалац подацима; она одређује сврхе и начине обраде података о личности својих водича и учесника тура.

First Point (Your Next Tours) јесте обрађивач података; податке о личности обрађује искључиво у име и у складу са упутствима руковаоца подацима.

Контакт обрађивача: contact@firstpoint.com.tr. Правни назив, адреса и подаци из регистра биће попуњени у анексима за потписивање за сваког појединачног корисника.

2. Предмет, трајање, природа и сврха

Предмет: обрада података о личности неопходних за пружање услуге Your Next Tours (функције налога, конфигурације, сесије и евалуације које се односе на офлајн аудио-емитовање путем телефона током тура).

Трајање: обрада траје током периода важења главног уговора о услугама и завршава се његовим истеком или раскидом у складу са Одељком 9.

Природа и сврха: подаци се обрађују аутоматизованим путем ради креирања и управљања налогом, чувања шаблона тура и конфигурације за WiFi/новчаник, обављања пријаве пре туре, чувања и извештавања о подацима сесија и оцена, као и пружања подршке.

3. Категорије лица на која се подаци односе и података о личности

Категорије лица на која се подаци односе: водичи/особље руковаоца и учесници туре.

Подаци о налогу: адреса е-поште, приказано име, назив организације (предузећа), жељени језик и слика профила (аватар).

Подаци о коришћењу: сесије и трајање тура, број учесника, оцене и коментари, као и приказано име учесника.

Подаци о конфигурацији: адресе крипто-новчаника (мрежа и адреса), детаљи Wi-Fi профила (SSID и лозинка) и шаблони тура.

Подаци о подршци и подаци о пријави пре туре: унето име учесника, модел телефона, статус слушалица / екстерне батерије и белешке у слободном тексту.

Није предвиђена обрада посебних категорија (осетљивих) података; руковалац се обавезује да такве податке неће уносити у услугу.

4. Обавезе руковаоца

Руковалац гарантује да су његова упутства и обрада података о личности законити, да је пружио сва потребна обавештења и да је прибавио пристанак где је то потребно.

Руковалац је одговоран за документована упутства која даје обрађивачу, као и за тачност и законитост података које отпрема на услугу.

5. Обавезе обрађивача и документована упутства

Обрађивач обрађује податке о личности искључиво на основу документованих упутстава руковаоца, која су саставни део овог ДПА-а и главног уговора. Ако обрађивач сматра да је неко упутство противзаконито, о томе ће обавестити руковаоца.

Обезбеђује да су лица са приступом подацима обавезана на поверљивост (уговорну или законску) и одобрава приступ искључиво према потреби посла.

Обрађивач не користи податке о личности за сопствене сврхе, не продаје их нити их дели са трећим лицима ван оквира пружања услуге.

6. Безбедносне мере (члан 32. GDPR-а)

Обрађивач примењује техничке и организационе мере примерене ризику. У општем смислу, оне обухватају: одговарајућу енкрипцију/заштиту при преносу и у мировању, контролу приступа и принцип најмањих привилегија, аутентификацију, евидентирање/надзор, прављење резервних копија и редовну ревизију.

Аудио-емитовање ТОКОМ туре одвија се преко преносиве локалне WiFi мреже без повезивања на интернет; ова комуникација уживо не пролази кроз позадински систем у облаку. Превођење уживо једини је изузетак уз изричиту сагласност: када га водич изричито укључи и потврди дијалог сагласности, искључиво се глас водича – никада микрофон учесника – стримује ка нашем позадинском систему и сервису Google Gemini ради превођења у реалном времену и не чува се на нашим серверима. Ова архитектура своди пренос података учесника током туре на минимум.

Овај текст не гарантује конкретне сертификате (нпр. ISO 27001); детаљи и тренутна листа примењених контрола могу бити наведени у безбедносном анексу прилагођеном кориснику.

7. Подобрађивачи

Руковалац даје обрађивачу опште овлашћење да ангажује подобрађиваче (нпр. пружаоце услуга хостинга и инфраструктуре) ради пружања услуге.

Актуелна листа потпроцесора се доставља кориснику (Анекс). Обрађивач писменим путем обавезује сваког потпроцесора на обавезе о заштити података еквивалентне онима у овом DPA-у и остаје одговоран за поступке потпроцесора.

Обрађивач ће обавестити руковаоца пре додавања или замене потпроцесора и оставити му разуман рок за приговор.

8. Права лица на која се подаци односе, обавештење о повреди и пружање помоћи

Обрађивач у разумној мери и одговарајућим техничким/организационим мерама помаже руковаоцу у одговарању на захтеве лица на која се подаци односе ради остваривања њихових права (приступ, исправка, брисање, приговор, преносивост).

Обрађивач ће обавестити руковаоца без непотребног одлагања након што сазна за повреду података о личности и пружити информације потребне да руковалац испуни своје законске обавезе обавештавања.

Обрађивач у разумној мери помаже руковаоцу у вези са обавезама из чланова 32–36. GDPR-а (безбедност, обавештавање о повреди и процене утицаја на заштиту података).

9. Брисање или враћање података

По окончању активности обраде, обрађивач ће, по избору руковаоца, обрисати или вратити податке о личности и уништити постојеће копије у разумном року, осим ако важећи закон не захтева њихово чување.

Руковалац такође може обрисати налог и делове података путем панела током трајања услуге.

10. Ревизије

Обрађивач ставља на располагање руковаоцу, у разумној мери, информације неопходне за доказивање усклађености са обавезама из овог DPA-а.

Руковалац може затражити ревизију/инспекцију уз благовремено обавештење и током радног времена, подложно ограничењима поверљивости и безбедности и без неоправданог ометања услуге. Појединости се могу уговорити за сваког клијента појединачно.

11. Међународни преноси

Када се подаци о личности преносе ван Турске или Европског економског простора, примењују се важећи механизми преноса и одговарајуће заштитне мере у складу са KVKK и GDPR (нпр. стандардне уговорне клаузуле).

Земље у које се подаци преносе и примењене заштитне мере наведене су у анексу о подобрађивачима, где је то релевантно.