Prilog 4 — Ugovor o obradi podataka o ličnosti (DPA)

Ovaj Prilog je sastavni deo Ugovora o posredovanju i nalogu u elektronskoj trgovini i uređuje obradu podataka o ličnosti u vezi sa poslovanjem Prodavca na Platformi, saglasno Zakonu o zaštiti podataka o ličnosti („Sl. glasnik RS", br. 87/2018 — u daljem tekstu: ZZPL) i Opštoj uredbi o zaštiti podataka (GDPR).

Član 1 — Definicije

Pojmovi imaju značenje utvrđeno ZZPL: rukovalac, obrađivač, lice na koje se podaci odnose, obrada, podaci o ličnosti, povreda podataka o ličnosti, Poverenik (Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti). „Kupac" i druge pojmove ima značenje iz osnovnog Ugovora.

Član 2 — Uloge i status Ugovornih strana

2.1. U pogledu podataka o ličnosti Kupaca, svaka Ugovorna strana nastupa kao samostalni rukovalac — Vondi u pogledu vođenja Platforme, naloga, plaćanja i analitike, a Prodavac u pogledu izvršenja Narudžbine, isporuke, fiskalizacije i postprodajnih obaveza. Strane nisu u odnosu rukovalac–obrađivač. Strane potvrđuju da svaka samostalno i nezavisno određuje svrhe i način obrade za sopstvene potrebe, te da ne postoji zajedničko odlučivanje o svrhama i sredstvima u smislu čl. 43. ZZPL, osim u izričito ugovorenim slučajevima iz čl. 2.3.

2.2. Prenos podataka Kupca od Vondi-ja ka Prodavcu vrši se po načelu rukovalac–rukovalac, isključivo u obimu neophodnom za izvršenje Narudžbine i zakonskih obaveza Prodavca.

2.3. Ukoliko Strane u pojedinom slučaju zajednički određuju svrhu i način obrade, na tu obradu primenjuju se odredbe o zajedničkim rukovaocima (čl. 43. ZZPL), uz srazmernu podelu odgovornosti.

Član 3 — Predmet, svrhe i vrste obrade

3.1. Predmet, svrhe, vrste podataka, kategorije lica i rokovi čuvanja utvrđeni su u Prilogu A ovog DPA.

3.2. Obrada se vrši isključivo u navedene svrhe; svaka druga obrada zahteva poseban pravni osnov.

Član 4 — Pravni osnov obrade

4.1. Obrada se zasniva na: (a) izvršenju ugovora sa Kupcem (čl. 12. st. 1. tač. 2) ZZPL) — za realizaciju Narudžbine, plaćanje i dostavu; (b) zakonskoj obavezi (čl. 12. st. 1. tač. 3) ZZPL) — za fiskalizaciju, računovodstvo, reklamacije i odustanak; (c) pristanku lica — za direktni marketing i druge zakonom neobavezne obrade.

Član 5 — Obaveze Prodavca

5.1. Prodavac obrađuje podatke Kupaca isključivo radi izvršenja Narudžbine i ispunjenja zakonskih obaveza (dostava, fiskalizacija, reklamacije, odustanak).

5.2. Prodavcu je zabranjeno da podatke Kupaca dobijene putem Platforme koristi za sopstveni direktni marketing, profilisanje ili prodaju van Platforme, bez posebnog, zakonom valjanog pristanka lica. Ova obaveza dopunjuje član 4.9. osnovnog Ugovora.

5.3. Prodavac primenjuje odgovarajuće tehničke i organizacione mere bezbednosti (čl. 8), obrađuje samo neophodne podatke (minimizacija) i ne čuva ih duže nego što je potrebno.

5.4. Prodavac bez odlaganja prosleđuje Vondi-ju svaki zahtev lica ili Poverenika koji se odnosi na podatke obrađivane putem Platforme, radi koordinacije odgovora.

Član 6 — Obaveze Vondi-ja

6.1. Vondi obezbeđuje da se Kupcima pre zaključenja Narudžbine pruže propisane informacije o obradi (politika privatnosti), uključujući podatke o Prodavcu kao primaocu.

6.2. Vondi prosleđuje Prodavcu samo podatke neophodne za izvršenje Narudžbine i primenjuje tehničke i organizacione mere bezbednosti (čl. 8).

Član 7 — Prava lica na koje se podaci odnose

7.1. Strane omogućavaju ostvarivanje prava lica iz ZZPL: pravo na pristup, ispravku, brisanje, ograničenje obrade, prenosivost i prigovor.

7.2. Svaka Strana postupa po zahtevu u delu obrade za koji je rukovalac, bez odlaganja, a najkasnije u roku od 30 dana. Kada zahtev zadire u obradu obe Strane, Strane sarađuju radi potpunog i blagovremenog odgovora.

Član 8 — Bezbednost obrade

8.1. Strane primenjuju odgovarajuće tehničke i organizacione mere srazmerne riziku (čl. 50. ZZPL), naročito: kontrolu pristupa po načelu „need to know", enkripciju podataka u prenosu i, gde je primereno, u skladištenju, pseudonimizaciju gde je moguća, redovno pravljenje rezervnih kopija, evidentiranje pristupa i postupke za otklanjanje incidenata.

Član 9 — Drugi primaoci i obrađivači

9.1. Radi izvršenja Narudžbine angažuju se drugi primaoci/obrađivači, naročito: pružalac usluga dostave (Pošta Srbije), pružalac fiskalizacije (Cornerstone CXS — samo ako je Prodavac uključio opcionu uslugu automatske fiskalizacije, član 10a osnovnog Ugovora), pružaoci platnih usluga (PaySpot, AllSecure) i pružaoci usluga skladištenja podataka (hosting). Svaka Strana obezbeđuje da njeni obrađivači postupaju u skladu sa ZZPL, na osnovu pisanog ugovora saglasno čl. 45. ZZPL.

Član 10 — Povreda podataka o ličnosti

10.1. U slučaju povrede podataka o ličnosti, Strana kod koje je povreda nastala obaveštava Poverenika bez odlaganja, a najkasnije u roku od 72 časa od saznanja, osim ako nije verovatno da povreda predstavlja rizik za prava lica (čl. 53. ZZPL).

10.2. Strana o povredi obaveštava drugu Stranu bez odlaganja, kako bi se omogućila koordinacija. Kada povreda može da prouzrokuje visok rizik, obaveštava se i lice na koje se podaci odnose (čl. 54. ZZPL).

Član 11 — Prenos podataka u inostranstvo

11.1. Prenos podataka izvan Republike Srbije vrši se samo uz postojanje odgovarajućeg osnova iz ZZPL (primerena zaštita, standardne ugovorne klauzule ili druga propisana mera).

Član 12 — Rok čuvanja i brisanje

12.1. Podaci se čuvaju koliko je potrebno za svrhu, a za podatke koji ulaze u fiskalnu i računovodstvenu evidenciju — u zakonskom roku (10 godina, saglasno propisima o računovodstvu i fiskalizaciji). Po isteku roka, podaci se brišu ili anonimizuju.

Član 13 — Odgovornost

13.1. Svaka Strana odgovara za svoju obradu i obavezuje se da obešteti drugu Stranu za štetu i kazne nastale usled njenog kršenja ZZPL/GDPR ili ovog DPA.

Član 14 — Trajanje, merodavno pravo i nadležnost

14.1. Ovaj DPA važi za vreme trajanja osnovnog Ugovora; obaveze koje se po prirodi nastavljaju (poverljivost, čuvanje, prava lica) ostaju na snazi i nakon prestanka. Primenjuju se ZZPL i GDPR; nadzorni organ je Poverenik; za sporove je nadležan Privredni sud u Beogradu.

Član 15 — Elektronski potpis i dokazna snaga

15.1. Ugovorne strane saglasno prihvataju da se ovaj DPA i glavni Ugovor čiji je sastavni deo, zajedno sa svojim prilozima, aneksima i obaveštenjima, zaključuju i potpisuju elektronskim putem, preko platforme za elektronsko potpisivanje Documenso (sign.vondi.rs). Takav elektronski potpis strane priznaju kao punovažan i obavezujući, sa istim pravnim dejstvom kao svojeručni potpis, saglasno načelu slobode forme (čl. 67. Zakona o obligacionim odnosima) i Zakonu o elektronskom dokumentu, elektronskoj identifikaciji i uslugama od poverenja u elektronskom poslovanju („Sl. glasnik RS", br. 94/2017 i 52/2021).

15.2. Nijedna strana neće osporavati punovažnost, zaključenje niti izvršivost ovog Ugovora isključivo iz razloga što je sačinjen, potpisan ili dostavljen u elektronskom obliku, niti zato što ne sadrži svojeručni potpis ili pečat (čl. 50. napred navedenog Zakona).

15.3. Strane prihvataju da evidencija o potpisivanju (audit trail) platforme Documenso — koja beleži identitet potpisnika, adresu elektronske pošte i IP adresu sa kojih je potpisivanje izvršeno, kao i datum i vreme svake radnje — predstavlja verodostojan i dovoljan dokaz o činjenici, sadržini i vremenu potpisivanja, kao i o identitetu lica koje je potpisalo. Ova evidencija ima dokaznu snagu u eventualnom sporu, dok se ne dokaže suprotno.

15.4. Lice koje potpisuje ovaj Ugovor u ime Ugovorne strane svojim potpisom lično jemči da je uredno ovlašćeno za zastupanje te strane i za preuzimanje obaveza iz ovog Ugovora, te da je adresa elektronske pošte sa koje pristupa potpisivanju u njegovoj isključivoj upotrebi i pod njegovom kontrolom. Za štetu nastalu zbog neistinitosti ove izjave odgovara lice koje je Ugovor potpisalo.

15.5. Odredbe ovog člana ne primenjuju se na isprave za koje zakon izričito zahteva overu potpisa, javnobeležničku (notarsku) formu ili drugu posebnu formu; takve isprave Ugovorne strane sačinjavaju i potpisuju u zakonom propisanoj formi.

PRILOG A — Opis obrade

Potpisi