Ugovor o obradi podataka

Strane i opseg

Ovaj ugovor (članak 28. GDPR-a) sklapa se između vas, objekta, kao voditelja obrade i Ospitera kao izvršitelja obrade. Dio je uvjeta korištenja i primjenjuje se dok za vas obrađujemo osobne podatke. Verzija 2026-11-05.

Što obrađujemo

Predmet i svrha: primanje, prikaz, ispis i dostava narudžbi vaših gostiju, slanje SMS poruka koje uključite i povezana podrška.

Ispitanici: vaši gosti i vaše osoblje koje koristi administraciju i zaslon za osoblje.

Osobni podaci: ime, telefon, adresa dostave, napomene i sadržaj narudžbe gostiju; korisnička imena osoblja; tehnički podaci poput IP adresa (pohranjeni samo kao ključni hashevi).

Trajanje: Adresa dostave i napomene brišu se 24 sati nakon zatvaranja narudžbe, telefonski broj i prezime nakon 72 sati, a nezatvorene narudžbe gube ih nakon 7 dana. Sadržaj i iznosi narudžbi ostaju za knjigovodstvo objekta do prestanka njegova poslovanja ili usluge.

Naše obveze

Dokumentirane upute: vaše osobne podatke obrađujemo samo u svrhe i prema uputama iz ovog ugovora, postavki koje odaberete u administraciji i kasnijih uputa vaših ovlaštenih kontaktnih osoba, uključujući prijenos u inozemstvo. Ako pravo EU-a ili države članice zahtijeva drugačiju obradu, unaprijed vas obavještavamo, osim ako to pravo zabranjuje. Ako smatramo da uputa krši propise o zaštiti podataka, odmah vas obavještavamo i obustavljamo uputu dok se ne dogovorimo o sljedećim koracima.

Sve osobe u Ospiteri koje imaju pristup obvezane su na povjerljivost.

Primjenjujemo odgovarajuće sigurnosne mjere, među ostalim: šifriranje tijekom prijenosa, šifriranje kontaktnih podataka gostiju i vjerodajnica za plaćanje u pohrani, hashirane lozinke i PIN-ove, pristup ograničen na objekt, ograničavanje zahtjeva, bilježenje osjetljivih radnji, automatsko brisanje prema navedenome i sigurnosne kopije baze podataka.

Pomoć: uzimajući u obzir obradu i dostupne informacije, pomažemo vam sa zahtjevima gostiju za ostvarivanje njihovih prava, sa sigurnošću, procjenom i prijavom povreda, s procjenama učinka i savjetovanjem s tijelima. Vaša administracija sadrži alat za izvoz ili brisanje podataka jednog gosta; za ostalo se obratite podršci. Zahtjeve koji se odnose na vašu obradu odmah vam prosljeđujemo i sami na njih ne odgovaramo, osim ako to zakon zahtijeva, a informacije koje razumno imamo dajemo vam na vrijeme za vaše rokove.

Povredu osobnih podataka koja se odnosi na vaše podatke prijavljujemo vam bez nepotrebnog odgađanja i u roku od 48 sati od otkrivanja, s informacijama potrebnima za vaše vlastite obveze.

Prestanak usluge: nove narudžbe prestaju na datum prestanka. Još 30 dana nakon toga možete se prijaviti i izvesti podatke (uvjeti 9.4); 30. dana brišemo osobne podatke koje za vas čuvamo (narudžbe, podatke gostiju, račune osoblja i vlasnika, jelovnik i kontaktne podatke u postavkama), osim ako nas zamolite za ranije brisanje. Sigurnosne kopije baze podataka istječu prema rasporedu oporavka našeg pružatelja baze podataka i nikada se ne koriste u redovnom radu; ako se sigurnosna kopija ikada vrati, brisanja se ponovno primjenjuju. Čuvamo samo ono što od nas zahtijeva zakon: naše račune vama i zapis o prihvaćanju uvjeta.

Usklađenost i revizije: stavljamo na raspolaganje informacije razumno potrebne za dokazivanje usklađenosti s ovim ugovorom i omogućujemo revizije, uključujući inspekcije, koje provodite vi ili neovisni revizor kojeg ovlastite, uz razumnu prethodnu obavijest i očuvanje povjerljivosti, te u njima sudjelujemo. Redovite revizije mogu se objediniti kako bi se izbjeglo udvostručavanje; dodatne revizije uvijek su moguće nakon značajnog incidenta, značajne promjene obrade, osnovane sumnje na neusklađenost ili na zahtjev nadzornog tijela.

Odvojene uloge: mi smo vaš izvršitelj obrade za narudžbe vaših gostiju i za račune osoblja kojima upravljate. Za naš poslovni odnos s vama, obračun, sigurnost naše platforme i pravne zahtjeve mi smo samostalni voditelj obrade, kako opisuje politika privatnosti (/legal/privacy). Nijedna uloga ne dopušta nam da podatke gostiju koristimo za oglašavanje, nepovezano profiliranje ili treniranje modela umjetne inteligencije.

Podizvršitelji

Odobravate podizvršitelje navedene na /legal/subprocessors. Nalažemo im iste obveze zaštite podataka i za njih odgovaramo.

Nove podizvršitelje najavljujemo u administraciji najmanje 30 dana unaprijed. Možete prigovoriti iz opravdanih razloga; ako se ne pronađe rješenje, možete raskinuti uslugu prije promjene.

Prijenos u inozemstvo

Popis podizvršitelja navodi gdje svaki pružatelj obrađuje podatke. Ako podaci napuste Europski gospodarski prostor, prijenos se temelji na odluci o primjerenosti ili, ako se nijedna ne primjenjuje, na standardnim ugovornim klauzulama Europske komisije (modul 3., izvršitelj obrade prema izvršitelju obrade) ugovorenima s tim pružateljem, uz dodatne mjere gdje je potrebno. Daljnje prijenose naših pružatelja procjenjujemo zasebno. Prijenos bez valjanog mehanizma ne započinje. Na zahtjev vam dajemo presliku zaštitnih mjera, zacrnjenu samo ondje gdje je to poslovno nužno.

Prilozi po državama

Ujedinjena Kraljevina: osobni podaci iz Ujedinjene Kraljevine mogu ići u EGP prema britanskim propisima o primjerenosti za EGP. Ako ograničeni prijenos ide izvan EGP-a, primjenjuje se UK International Data Transfer Addendum uz klauzule koje imamo s tim pružateljem.

Švicarska: prijenosi u EGP temelje se na priznanju primjerene razine zaštite od strane Saveznog vijeća; prijenosi drugamo koriste standardne ugovorne klauzule koje je za to odredište priznao švicarski Savezni povjerenik za zaštitu podataka i informacija.

Brazil: prijenosi u Belgiju i ostatak EU-a temelje se na odluci brazilskog tijela za zaštitu podataka (ANPD) o primjerenoj razini zaštite u Europskoj uniji, u mjeri u kojoj ih obuhvaća. Druga odredišta i daljnji prijenosi koriste mehanizam naveden za njih; ako su to standardne ugovorne klauzule ANPD-a (Rezolucija CD/ANPD 19/2024), prilažemo njihov potpuni tekst i ispunjene priloge bez izmjena.

Turska: ako je zaštitna mjera standardni ugovor Tijela za zaštitu osobnih podataka, prije početka prijenosa s vama ispunjavamo i potpisujemo odgovarajući turski modul, a potpisani ugovor dostavlja se Tijelu u roku od pet radnih dana od potpisivanja, od strane koju ono odredi. Do tada ne počinjemo obrađivati podatke za objekt u Turskoj.

Quebec: prije nego što osobne informacije napuste Quebec, dajemo vam informacije i pisana jamstva koja su vam potrebna za vlastitu procjenu prema Zakonu o zaštiti osobnih informacija u privatnom sektoru; procjena ostaje vaša.

Druge države s vlastitim pravilima o prijenosu osobnih podataka u inozemstvo (primjerice Argentina, Kolumbija i Peru): dajemo vam potrebne informacije o našoj obradi i prije početka prijenosa uvodimo klauzule koje zahtijeva to pravo.

Redoslijed prednosti

Prisilne odredbe navedenog instrumenta za prijenos imaju prednost pred ovim ugovorom i uvjetima korištenja. Uz tu ogradu, prilog za pojedinu državu ima prednost pred ostatkom ovog ugovora, a ovaj ugovor ima prednost pred uvjetima korištenja u pitanjima osobnih podataka.

Kontakt

Pitanja o privatnosti i prijava povreda: support@ospitera.com.